认识社会工程学!分类目录文章标签友情链接联系我们

以下经本人的个人技巧与心得,仅供参考,请勿转载 谢谢!

社会工程学(Social Engineering)是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪 婪等心理陷阱进行诸如欺骗、伤害等危害手段。社会工程学攻击在近年来的一些网络入侵事件中起到了很大的作用,对企业信息安全有很大的威胁性。下面转载来一 篇比较不错的文章,方便各位网络信息安全爱好者了解社会工程学。 注: 节选之上海市公安局网络安全顾问彭一楠 06年写的一个PPT,PPT中谈到一些黑客思维跟金钢经典故中阐述的观点出奇的相似,用唯物辩证法联系观来说就是事物的普遍联系性 。

Part:A 经典技术

一.  直接索取 (Direct Approach) — 直接向目标人员索取所需信息

二.  个人冒充

1. 重要人物冒充 — 假装是部门的高级主管,要求工作人员提供所需信息

2. 求助职员冒充 — 假装是需要帮助的职员,请求工作人员帮助解决网络问题,借以获得所需信息

3. 技术支持冒充 — 假装是正在处理网络问题的技术支持人员,要求获得所需信息以解决问题

三.  反向社会工程 (Reverse Social Engineering)

定义: 迫使目标人员反过来向攻击者求助的手段

步骤: 破坏 (Sabotage) — 对目标系统获得简单权限后,留下错误信息,使用户注意到信息,并尝试获得帮助 推销 (Marketing) — 利用推销确保用户能够向攻击者求助,比如冒充是系统维护公司,或者在错误信息 里留下求助电话号码 支持 (Support) — 攻击者帮助用户解决系统问题,在用户不察觉的情况下,并进一步获得所需信息

四.  邮件利用

木马植入:在欺骗性信件内加入木马或病毒

群发诱导:欺骗接收者将邮件群发给所有朋友和同事

Part:B — 新技术

一.  钓鱼技术 (Phishing) — 模仿合法站点的非法站点

目的: 截获受害者输入的个人信息(比如密码)

技术: 利用欺骗性的电子邮件或者跨站攻击诱导用户前往伪装站点

二.  域欺骗技术 (Pharming)

定义: 域欺骗是钓鱼技术加 DNS 缓冲区毒害技术 (DNS caching poisoning)

步骤: 1. 攻击 DNS 服务器,将合法 URL 解析成攻击者伪造的 IP 地址 2. 在伪造 IP 地址上利用伪造站点获得用户输入信息

三.  非交互式技术

目的: 不通过和目标人员交互即可获得所需信息 技术: 1. 利用合法手段获得目标人员信息: eg. 垃圾搜寻 (dumpster diving) 、搜索引擎 Chicago Tribune 利用 google 获得 2600 个 CIA 雇员个人信息,包括地址、电话号码等 2. 利用非法手段在薄弱站点获得安全站点的人员信息 eg. 论坛用户挖掘、合作公司渗透

四.  多学科交叉技术:

1. 心理学技术:分析网管的心理以利用于获得信息

a. 常见配置疏漏:明文密码本地存储、便于管理简化登陆 b. 安全心理盲区:容易忽视本地和内网安全、对安全技术 ( 比如防火墙、入侵检测系统、杀毒软件等)盲目信任、信任过度传递

2. 组织行为学技术:分析目标组织的常见行为模式,为社会工程提供解决方案。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

黑掉ATM取款机?只需一条短信

FreeBuf视频组近期将带来ATM Hack视频,请关注 “当爱已成往事,心里的伤痕犹存” 我们一直在说,4月8日之后微软将停止对windows xp的技术支...

1959
来自专栏FreeBuf

七个黑你的理由

常识告诉我们,用户是IT风险管理中最薄弱的一环,特别针对是一些“天真勇敢”的用户……但是黑客究竟是如何利用这种天真(缺乏保护意识)进入用户终端和公司账户的呢?他...

1687
来自专栏区块链

安全告警:挖矿病毒通过各大搜索引擎传播

【IT168 资讯】如果有一天你的电脑沦为不法分子的工具你会作何感想?对于他们来讲你的电脑只是替他们“工作“的”肉鸡“。事实上,这种事确实是一直存在着的。近期,...

2256
来自专栏FreeBuf

Hold安全公司公布俄罗斯大型泄密事件细节

在8月4日,Hold安全公司宣布,一个俄罗斯的犯罪团伙承认了一场数据泄露事件–窃取了12亿用户名+密码的组合和5千万email地址。其中电子邮件账户数量大概占了...

1708
来自专栏BestSDK

黑客最喜欢攻击这5类人:尤其是随意连接免费wifi的

1. 随意连接公共WiFi,启动支付 21世纪最昂贵的东西是什么? 答案是:免费!始终坚信一个道理不动摇:天上不会掉馅饼,就算会,也被更勤快的人捡去。 现在人们...

3517
来自专栏安恒信息

地下论坛兜售新金融木马Kronos窃取帐户密码

近日发现一款名为Kronos的新金融恶意程序,该恶意程序发布于俄罗斯犯罪地下论坛,和过去著名的Zeus金融木马同样是在网页后台执行,用来窃取用户...

2808
来自专栏FreeBuf

暗网做生意不容易:黑市开搞漏洞奖励计划,最高奖励10比特币

很多人不知道,安全是黑产都需要重视的话题。就在上周,大型暗网市场Hansa借鉴了许多公司的普遍做法,发布了漏洞赏金计划,奖励金额最高可达10比特币,约合1万美元...

1945
来自专栏玄魂工作室

安全快讯合集

5. 15岁少年声称攻破BitFi虚拟加密币硬件钱包 John McAfee否认其被攻破

452
来自专栏企鹅号快讯

知名社工库网站LeakedSource运营者被捕 或面临10年监禁

“用指尖改变世界” ? 加拿大当局已经逮捕了一名安大略省男子,指控他经营一个网站,该网站从大约三十亿个在线账户中收集“被盗”的个人身份记录和证件,并将通过出售以...

3558
来自专栏安恒信息

“你中奖啦?”警惕五大骗局,莫让世界杯成为“骗子的狂欢”

世界杯期间,利用中奖短信的方式来诈骗的案例数不胜数:短信通知你中奖了,点击某网站链接去领取奖品,还有不少用户收到短信,称提供“百分百准确预测球赛结果”服务,仅收...

963

扫码关注云+社区