網(wǎng)絡(luò)攻防原理與技術(shù) 第4版 課件 第12章 社會(huì)工程學(xué)

本PPT是機(jī)械工業(yè)出版社出版的教材《網(wǎng)絡(luò)攻防原理與技術(shù)（第3版）》配套教學(xué)PPT（部分內(nèi)容的深度和廣度比教材有所擴(kuò)展），作者：吳禮發(fā)，洪征，李華波本PPT可能會(huì)直接或間接采用了網(wǎng)上資源或公開學(xué)術(shù)報(bào)告中的部分PPT頁面、圖片、文字，引用時(shí)我們力求在該P(yáng)PT的備注欄或標(biāo)題欄中注明出處，如果有疏漏之處，敬請(qǐng)諒解。同時(shí)對(duì)被引用資源或報(bào)告的作者表示誠摯的謝意！本PPT可免費(fèi)使用、修改，使用時(shí)請(qǐng)保留此頁。聲明第十二章社會(huì)工程學(xué)內(nèi)容提綱社會(huì)工程學(xué)常用技術(shù)2社工庫與社會(huì)工程學(xué)工具3防范社會(huì)工程學(xué)4概述1社會(huì)工程學(xué)人是核心要素IATF核心要素：人、技術(shù)和操作，其中人是信息體系的主體，是信息系統(tǒng)的擁有者、管理者和使用者，是信息保障體系的核心，是第一位的要素。“人”不僅是安全的終極目標(biāo)，也是安全的核心手段和最危險(xiǎn)的攻擊面定義維基百科：社會(huì)工程是操縱他人采取特定行動(dòng)或者泄露機(jī)密信息的行為。它與騙局或欺騙類似，故該詞常用于指代欺詐或詐騙，以達(dá)到收集信息、欺詐或訪問計(jì)算機(jī)系統(tǒng)的目的。大多數(shù)情況下，攻擊者與受害者不會(huì)面對(duì)面接觸社會(huì)工程學(xué)定義韋氏詞典：“社會(huì)(Social)”是指“社區(qū)中屬于或與生活、福利以及人際關(guān)系有關(guān)的”，“工程(Engineering)”是指“對(duì)物理、化學(xué)等純科學(xué)進(jìn)行實(shí)際應(yīng)用的藝術(shù)或科學(xué)”，組合起來的意思就是：社會(huì)工程學(xué)是一門藝術(shù)或者科學(xué)，它有技巧地誘導(dǎo)人們?cè)谏钪械哪承┓矫娌扇∧撤N行動(dòng)。社會(huì)工程學(xué)定義Hadnagy：社會(huì)工程是一種操縱他人采取特定行動(dòng)的行為，該行動(dòng)不一定符合“目標(biāo)人”的最佳利益，其結(jié)果包括獲取信息、取得訪問權(quán)或讓目標(biāo)采取特定的行動(dòng)。社會(huì)工程學(xué)定義更一般的定義：社會(huì)工程是一種利用人的弱點(diǎn)（例如人的本能反應(yīng)、好奇心、信任、貪婪等）進(jìn)行諸如欺騙、傷害來獲取利益的方法，簡(jiǎn)單地說就是“誘騙”。社會(huì)工程學(xué)定義從網(wǎng)絡(luò)攻防的角度看：社會(huì)工程是操縱他人采取特定行動(dòng)或者泄露機(jī)密信息的行為，該行動(dòng)不一定符合“目標(biāo)人”的最佳利益，其結(jié)果包括獲取信息、取得訪問權(quán)或讓目標(biāo)采取特定的行動(dòng)。社會(huì)工程學(xué)意義在當(dāng)前網(wǎng)絡(luò)安全防護(hù)技術(shù)越來越強(qiáng)，單位或組織越來越重視網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)的今天，純技術(shù)的網(wǎng)絡(luò)攻擊的難度越來越大，借助社會(huì)工程學(xué)實(shí)施網(wǎng)絡(luò)滲透攻擊成為了一種主流的網(wǎng)絡(luò)攻擊形態(tài)。APT攻擊過程中，就常常采用社會(huì)工程學(xué)的方法來實(shí)現(xiàn)攻擊目的。社會(huì)工程學(xué)/s/V0LwIpNNTjSCE2PtcT1hZw社會(huì)工程學(xué)社會(huì)工程學(xué)威瑞森的報(bào)告顯示，94%的惡意軟件通過電子郵件傳播，排名第一的社會(huì)工程攻擊是網(wǎng)絡(luò)釣魚社會(huì)工程學(xué)社會(huì)工程學(xué)內(nèi)容提綱社會(huì)工程學(xué)常用技術(shù)2社工庫與社會(huì)工程學(xué)工具3防范社會(huì)工程學(xué)4概述1社會(huì)工程主要是針對(duì)人的攻擊，因此，攻擊者或社會(huì)工程師（社會(huì)工程學(xué)的實(shí)施者）必須掌握心理學(xué)、人際關(guān)系學(xué)和行為學(xué)等知識(shí)和技能，以便收集和掌握實(shí)施入侵所需要的相關(guān)資料與信息、開展具體的攻擊行動(dòng)，常見形式有偽裝、引誘、恐嚇、說服、反向社會(huì)工程等。常用技術(shù)偽裝成管理員或熟悉的人向用戶發(fā)送信息、打電話，或偽造知名Web站點(diǎn)（釣魚網(wǎng)站），如銀行、政府網(wǎng)站，讓用戶誤以為是真的網(wǎng)站而去訪問等，進(jìn)而達(dá)到攻擊的目的一、偽裝偽裝的原則或技巧盡可能了解要偽裝的目標(biāo)加入個(gè)人愛好會(huì)提高成功率練習(xí)方言或表達(dá)方式；不要低估打電話的作用偽裝越簡(jiǎn)單，成功率越高偽裝必須自然為目標(biāo)提供合理的結(jié)論或下一步工作安排等一、偽裝偽裝網(wǎng)站一、偽裝偽裝網(wǎng)站URL中常見字符字母o與數(shù)字0一、偽裝偽裝網(wǎng)站URL中常見字符將英文字母a（o）替換為西里爾文（Cyrillic）字母а（о）或俄文字母а（о）一、偽裝偽裝網(wǎng)站URL中常見字符將英文字母a（o）替換為西里爾文（Cyrillic）字母а（о）或俄文字母а（о）一、偽裝一、偽裝偽裝網(wǎng)站URL中常見字符將大寫英文字母I替換為數(shù)字1將大寫Y替換成大寫字母V或反過來2020非冠疫情期間出現(xiàn)的：用cclc來偽裝（美國）疾控中心（centerfordiseasecontrol）的簡(jiǎn)稱cdc，主要用于偽裝域名，如用偽裝成一、偽裝利用同一單詞不同形式來迷惑受害者。2018年，安全研究人員在Python軟件庫中發(fā)現(xiàn)了一個(gè)名為“Colourama”的盜竊加密貨幣的惡意Python軟件包，它仿冒的是Python軟件庫中下載排名前20的軟件包“Colorama”。惡意包名稱中的“Colour”與被仿冒的Python包名稱中的“Color”的意思是一樣的，只差一個(gè)字母，很具有迷惑性。盡管該惡意Python包上線不久就被發(fā)現(xiàn)，但在被發(fā)現(xiàn)之前還是有151個(gè)用戶已經(jīng)下載了該軟件包一、偽裝用相近單詞（清華校內(nèi)2021年底的一次測(cè)試）一、偽裝用相近單詞一、偽裝偽裝網(wǎng)站URL中常見字符用ASCII碼代替可見字符一、偽裝通過中獎(jiǎng)、免費(fèi)贈(zèng)送禮品、有誘惑力的資料等內(nèi)容，引誘用戶打開網(wǎng)頁、郵件及附件、短信里的網(wǎng)絡(luò)鏈接等手段，實(shí)現(xiàn)木馬的傳播，進(jìn)而控制用戶的計(jì)算機(jī)；通過有獎(jiǎng)?wù){(diào)查、比賽投票、贈(zèng)送禮品等手段，要求填寫賬號(hào)、密碼、聯(lián)系方式等信息，來收集用戶的個(gè)人信息等二、引誘大到APT組織，小到社會(huì)上一些小黑客、不法分子，大量利用熱點(diǎn)事件作為誘餌文檔來實(shí)施社會(huì)工程攻擊，如南海問題、中美貿(mào)易戰(zhàn)、重大流行疾病、重大選舉、戰(zhàn)爭(zhēng)等二、引誘二、引誘二、引誘2020.2：APT組織利用肺炎疫情相關(guān)題材制作的釣魚郵件二、引誘2020.2：APT組織利用肺炎疫情相關(guān)題材制作的釣魚郵件二、引誘2020.7：APT組織利用肺炎疫情相關(guān)題材制作的釣魚郵件二、引誘2020.12：節(jié)日釣魚郵件二、引誘2020.12：節(jié)日釣魚郵件二、引誘清華段海新老師的一次經(jīng)歷二、引誘利用人們對(duì)安全、漏洞、病毒、木馬、黑客等內(nèi)容的敏感性，以權(quán)威機(jī)構(gòu)或系統(tǒng)管理員的面目出現(xiàn)，散布諸如安全警告、系統(tǒng)風(fēng)險(xiǎn)之類的信息，使用危言聳聽的伎倆恐嚇欺騙計(jì)算機(jī)用戶，下載安全防護(hù)軟件、漏洞補(bǔ)丁，或執(zhí)行系統(tǒng)升級(jí)、更改口令等，進(jìn)而控制用戶的計(jì)算機(jī)或網(wǎng)絡(luò)應(yīng)用賬戶等三、恐嚇2016.3.19：希拉里競(jìng)選團(tuán)隊(duì)主席JohnPodesta收到的釣魚郵件三、恐嚇假冒網(wǎng)易郵箱管理員的身份給用戶發(fā)送的安全告警郵件三、恐嚇假冒網(wǎng)易郵箱管理員的身份給用戶發(fā)送的安全告警郵件三、恐嚇假冒網(wǎng)易郵箱管理員的身份給用戶發(fā)送的安全告警郵件三、恐嚇假冒郵件服務(wù)器軟件開發(fā)團(tuán)隊(duì)三、恐嚇讓他人以你所期望的方式去行動(dòng)、反應(yīng)、思考或建立信仰的過程，其中包含了情感和信仰等因素，同時(shí)需要熟悉心理學(xué)知識(shí)。要想成功地實(shí)現(xiàn)說服的目標(biāo)，應(yīng)遵循5項(xiàng)基本原則：目標(biāo)明確；構(gòu)建共識(shí)；洞悉并融入環(huán)境；靈活應(yīng)變；內(nèi)省并保持理性，不受自己的情感的影響四、說服安全專家Hadnagy在《社會(huì)工程》一書中給出的“主題樂園”案例四、說服反向社會(huì)工程（ReverseSocialEngineering）：攻擊者通過技術(shù)或者非技術(shù)的手段給網(wǎng)絡(luò)或者計(jì)算機(jī)應(yīng)用制造“問題”，使其目標(biāo)人員深信不疑。然后，誘使工作人員或者網(wǎng)絡(luò)管理人員透露或者泄漏攻擊者需要的信息，甚至執(zhí)行攻擊者希望的攻擊操作，如下載帶有病毒的文件，重啟服務(wù)等五、反向社會(huì)工程反向社會(huì)工程步驟：破壞(Sabotage)。對(duì)目標(biāo)系統(tǒng)實(shí)施初步攻擊并獲得基本權(quán)限后，留下錯(cuò)誤信息，使用戶注意到信息，并嘗試獲得幫助。推銷(Marketing)。利用推銷術(shù)，確保用戶能夠向攻擊者求助，比如冒充是系統(tǒng)維護(hù)公司，或者在錯(cuò)誤信息里留下求助電話號(hào)碼等。支持(Support)。攻擊者幫助用戶解決系統(tǒng)問題，在用戶沒有察覺的情況下，進(jìn)一步獲得所需信息或執(zhí)行想要的操作等五、反向社會(huì)工程案例一：過于自信的CEO案例分析案例二：讓用戶安裝木馬案例分析案例三：已知某公司一高管的QQ號(hào)，要求獲得其QQ密碼和郵箱密碼案例分析案例三（續(xù)）調(diào)研了解對(duì)方的企業(yè)文化公司背景，又注冊(cè)了一堆目標(biāo)公司相關(guān)行業(yè)的一些論壇調(diào)查這家公司目標(biāo)公司大概運(yùn)營了4年之久，有不小的行業(yè)知名度滲透了一家目標(biāo)同類型公司。目的是挑個(gè)簡(jiǎn)單的先進(jìn)去找些行業(yè)術(shù)語，規(guī)范文檔試探攻擊該公司網(wǎng)站，失??！案例三（續(xù)）攻擊步驟：以投資關(guān)系接觸目標(biāo)用戶利用利益誘惑方式深入了解目標(biāo)“競(jìng)爭(zhēng)”心理社會(huì)工程學(xué)攻擊實(shí)施后續(xù)滲透及資料竊取案例三（續(xù)）周二上午10:00加對(duì)方QQ為好友E:你好,在論壇看到你發(fā)布你們公司一些在做的項(xiàng)目,想了解下,你這會(huì)方便么?T:你是說哪個(gè)項(xiàng)目?你想了解什么?E:htt://abbs/就是這個(gè)項(xiàng)目我想了解下你們的進(jìn)度，想知道什么時(shí)間可以測(cè)試產(chǎn)品。T:目前已經(jīng)可以測(cè)試了,你是那里的？做什么的？E:能先讓我測(cè)試下么？T:可以測(cè)試,不過你要提供你的信息給我。E:你是員工？還是PM？還是？？?T:PM？你到底是做什么的？案例三（續(xù)）E:呵呵，不好意思還沒自報(bào)家門我的電子名片：張**（總經(jīng)理助理）tel:150XXX333

河南省*****房地產(chǎn)開發(fā)集團(tuán)email:E@91T:房地產(chǎn)?和我們沒什么關(guān)系。你怎么對(duì)我們項(xiàng)目有興趣？E:集團(tuán)預(yù)計(jì)在年底前要擴(kuò)展三個(gè)新的子公司其中包含****的業(yè)務(wù)但是因?yàn)橐粫r(shí)間無法迅速構(gòu)建團(tuán)隊(duì)，所以董事會(huì)想要以投資方式收購成熟的團(tuán)隊(duì)和技術(shù)。T:大概明白了,不過我這會(huì)兒忙,你有什么事跟我助理談吧.E:沒關(guān)系等你有空了我再找你詳細(xì)聊吧你的名片？T:宋****(PM)tel:13323XX4

上海****信息科技有限公司email:T@91案例三（續(xù)）E:不好意思,我還需要問一個(gè)問題,你們公司股份制你是技術(shù)入股?T:嗯!有問題？E:只是先打聽下,我們本來是預(yù)計(jì)以不超過300萬收購一個(gè)團(tuán)隊(duì),如果你有信心帶出你現(xiàn)在的團(tuán)隊(duì)并能做好管理那么你可以脫離你的公司,這樣豈不是更好?T:這個(gè)問題我沒考慮過你還是先測(cè)試下產(chǎn)品E:怎么測(cè)試?T:目前只能我們內(nèi)部測(cè)試,你想看看的話我為你演示吧(有錢就能有好的服務(wù),沒有白眼,沒有我在忙的推延)E:現(xiàn)在嗎?我這會(huì)兒不是很方便,等下有個(gè)會(huì),晚上可以嗎?(換我擺譜)案例三（續(xù)）T:幾點(diǎn)?E:9點(diǎn)可以么？(說晚上9點(diǎn)是想知道他們所謂內(nèi)部測(cè)試是不是真實(shí)內(nèi)部測(cè)試,呵呵)T:……那時(shí)已經(jīng)下班了E:那你說個(gè)時(shí)間吧T:好吧那就9點(diǎn)吧(看來晚上9點(diǎn)也能演示,那不像是純內(nèi)部的測(cè)試,或者…VPN?)E:嗯好的那我先出去了T:再見晚上9點(diǎn)20我上網(wǎng)了…讓他等了一會(huì)兒測(cè)試他的耐心和脾氣呵呵T:你好!來了請(qǐng)聯(lián)系我T:你好!來了么？E:不好意思!堵車剛到家案例三（續(xù)）E:怎么看到測(cè)試？他發(fā)了個(gè)QQ遠(yuǎn)程協(xié)助…簡(jiǎn)直…太幸運(yùn)了呵呵這樣我了解的就更多啦只裝了個(gè)咖啡防病毒下面兩個(gè)網(wǎng)卡3個(gè)網(wǎng)卡圖標(biāo)…比較幸運(yùn)（因?yàn)楹苡锌赡苡幸粋€(gè)是VPN）看了很多操作演示然后我就開始…繼續(xù)E:很不錯(cuò)的,這個(gè)是你主要開發(fā)?T:是的E:你們負(fù)責(zé)開發(fā)的一共多少人？T:大概30人做研發(fā)的E:你個(gè)人有沒有考慮過獨(dú)立出來呢?如果你能帶團(tuán)隊(duì)一起這樣考慮下吧?T:沒有考慮過案例三（續(xù)）E:那如果我明天匯報(bào)后有關(guān)投資的問題應(yīng)該聯(lián)系誰?T:這個(gè)你要聯(lián)系市場(chǎng)部的經(jīng)理也就是我們副總****E:哦我知道了

(看來這做技術(shù)的的確很專注…不吃葷腥…套不上他…套自己吧)E:如果是和你公司談的話有點(diǎn)…T:怎么？E:這筆投資并不小的你是知道了如果通過公司對(duì)你對(duì)我都沒有利益嘛…T:這個(gè)我不懂,你跟他談就好了.E:這樣吧你能不能先側(cè)面幫我打聽下看有沒有這方面合作的意向可以嗎？T:這沒問題明天我問下給你答復(fù)我要下了E:嗯好明天聯(lián)系案例三（續(xù)）第二天他告訴我他們那個(gè)副總包括老總也很感興趣…而且他們老總給我來了一個(gè)電話表示說我個(gè)人方面的利益可以放心邀請(qǐng)我去上海.我當(dāng)然不能過去,不過我也跟他們老總談了我很感興趣非常感興趣我們老板也說沒問題下周我們就去上海具體談判然后下周T就一直催我,我一直推說我這里有點(diǎn)小問題后來在他們老總也跟我聯(lián)系問我什么時(shí)間過去我告訴他現(xiàn)在有另外一家和你們做同樣產(chǎn)品的公司聯(lián)系我們到我們這里做了演示不過不是我聯(lián)系的是公司的一個(gè)市場(chǎng)部經(jīng)理牽頭的所以投資的事情暫緩。我并在通話中透漏了我的私欲“放心吧我不會(huì)讓那經(jīng)理得逞的!”也給了對(duì)方老總充分的安慰”如果有什么動(dòng)態(tài)我會(huì)即時(shí)的通知你,希望*總能配合我”案例三（續(xù)）兩天后的早上，我撥了他老總的電話告訴他對(duì)方公司的演示我已經(jīng)看到了。告訴他們希望讓T能配合一下找找那家公司產(chǎn)品上的不足…這樣我有理由說服我的老板，T的老總說沒問題，上班就讓T聯(lián)系我.（我繞過了T讓他的老總告訴他這樣就更可信了,借刀殺人說的就這招吧!）這里我把之前滲透的那家公司的網(wǎng)站根目錄放置了一個(gè)名為/pdemo.rar的文件包里面塞了一些文檔放了一個(gè)demo.exe文件案例三（續(xù)）下面的事情…就不用再說了整個(gè)競(jìng)爭(zhēng)心理社會(huì)工程學(xué)攻擊實(shí)施完畢后續(xù)的日子里，我告訴T讓他給我做一個(gè)文檔詳細(xì)關(guān)于兩個(gè)產(chǎn)品的比較的文檔這樣我有充足的時(shí)間看他機(jī)器上的文件…我截獲了郵箱的密碼，從郵箱找到了VPN帳戶、辦公系統(tǒng)帳戶，并拿到了VPN后的兩臺(tái)服務(wù)器并安裝嗅探工具。到最后,就是幾乎所有他們公司服務(wù)器。當(dāng)然還有我想要的一些源代碼…案例四-2020Twitter被黑案例四-2020Twitter被黑案例四-2020Twitter被黑案例四-2020Twitter被黑案例四-2020Twitter被黑案例四-2020Twitter被黑2020年下半年至2021年初，谷歌威脅分析小組發(fā)現(xiàn)并確定了一個(gè)持續(xù)針對(duì)網(wǎng)絡(luò)和漏洞安全研究人員的攻擊活動(dòng)。谷歌認(rèn)為這項(xiàng)攻擊的發(fā)起者來自朝鮮網(wǎng)軍。需要注意的是，這起攻擊活動(dòng)成立的本身，在于實(shí)施社會(huì)工程學(xué)的人員精通漏洞分析和研究，在此基礎(chǔ)上才能成功攻擊多個(gè)漏洞研究人員。案例五-漏洞挖掘人員成為目標(biāo)案例五-漏洞挖掘人員成為目標(biāo)實(shí)戰(zhàn)攻防演習(xí)中的釣魚攻擊經(jīng)驗(yàn)教訓(xùn)站在系統(tǒng)或安全管理員的立場(chǎng)上，不要讓“人之間的關(guān)系”問題介入到你的信息安全鏈路之中，以至于讓你的努力前功盡棄。站在攻擊者的立場(chǎng)上，當(dāng)系統(tǒng)管理員的“工作鏈”上存放有你所需要的數(shù)據(jù)時(shí)，千萬不要讓他“擺脫”自身的脆弱環(huán)節(jié)，要想方設(shè)法地利用這個(gè)脆弱性環(huán)節(jié)案例分析楊義先《黑客心理學(xué)--社會(huì)工程學(xué)原理》心理學(xué)的重要性內(nèi)容提綱社會(huì)工程學(xué)常用技術(shù)2社工庫與社會(huì)工程學(xué)工具3防范社會(huì)工程學(xué)4概述1社會(huì)工程攻擊所需要的信息稱為“社工信息”，這些信息包羅萬象，如個(gè)人的身份信息（姓名、身份證號(hào)、生日、住址、工作單位、聯(lián)系電話、電子郵箱等），在各個(gè)網(wǎng)站上的賬號(hào)、密碼、分享的照片等，信用卡記錄、住宿記錄、訂票記錄、通信記錄、短信內(nèi)容、各種社交軟件的聊天，網(wǎng)絡(luò)地址信息、域名信息等。保存這些信息的結(jié)構(gòu)化數(shù)據(jù)庫稱為“社會(huì)工程數(shù)據(jù)庫（SocialEngineeringDatabase）”，簡(jiǎn)稱為“社工庫”。社工庫在進(jìn)行社會(huì)工程攻擊時(shí)，經(jīng)常需要制作釣魚網(wǎng)站，制作并發(fā)送釣魚郵件、誘餌文檔，偽造短信等，這就需要借助社會(huì)工程攻擊工具來完成社會(huì)工程學(xué)工具