1 什么是社工诈骗？ 人为因素才是安全的软肋，有意、无意的行为可造成潜在的威胁或者一连串的后果。2021年DBIR数据泄露报告（Data Breach Investigations Report）中提到85%的数据泄露涉及人的因素。社工攻击正是利用人的因素，引导操纵人们采取行动或泄露机密信息，以达到收集信息、欺诈或访问系统等目的的“骗局”。 “社会工程诈骗”（SEF）是指诈骗者利用社工手段，获得个人的信任，并“欺骗”他们分享机密信息，甚至将资金直接转移给攻击者。SEF严重依赖于人际互动，受害者通常不知道发
具体实践中，公安部会组织攻防两方，进攻方会在一个月内对防守方发动网络攻击，检测出防守方（企事业单位）存在的安全漏洞。通过与进攻方的对抗，企事业单位网络、系统以及设备等的安全能力会大大提高。
不了解注入的可以看看我之前的文章今年十八，喜欢SQL注入_迷雾安全-红中的博客-CSDN博客
每日热点新闻 2017年12月29日 星期五 农历十一月十二 人社部：过去5年城镇新增就业超过6500万人 人社部部长尹蔚民在全国人社工作会议上陈述了十八大以来的5年，人社工作取得显著成就：一是促进就业创业工作成效突出，城镇新增就业累计超过6500万人，城镇登记失业率、调查失业率保持在较低水平，高校毕业生就业率均在90%以上；二是覆盖城乡居民的社会保障体系基本建立，社保卡持卡人数超过10.7亿人，五项社保基金收支规模持续扩大，累计结余7.4万亿元；三是人才队伍建设进一步加强，全面深化职业资格制度改革，减少4
摘自：爱范儿（http://www.ifanr.com/） 机器正在取代人类的工作。IBM 的深蓝曾经打败过世界棋王。在这个智能时代，即使是最有创造性的工作之一：写作，也是可以由机器完成的。 雅虎和美联社的相当一部分财报和体育新闻都是机器人写的。它们使用的都是一家叫做 Automated Insights 的公司开发的软件 WordSmith。只要导入最新的数据，1 分钟最快可以生成 2000 篇报道。 为了测试机器人和记者谁能写出更好的报道，NPR 的驻白宫记者，前任商业记者 Scott Horsley
---- 新智元报道 编辑：编辑部 【新智元导读】现在，已经有互联网大厂打工人用类GPT模型赚到钱了！ 当你还在和ChatGPT尬聊时，已经有人用它搞到钱了。 前段时间，国外网友给ChatGPT 100美元自创业，搭建网址、内容策划、传播全都AI搞定，甚至LOGO都是由Dall-E设计的。 公司运作2天，估值飙升到25000美元。看到ChatGPT的羊毛这么容易薅，网友也纷纷按捺不住了。 其实，还有另一个用「ChatGPT」赚钱的门道，而国内已经有开发者，用ta赚到了第一桶金。 一次偶然经历，诞
渗入企业内网，成功获得起始攻击点，这就是一个很有意思的话题，因为有各种有趣的攻击方式。
社会工程学（Social Engineering）,一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势.那么，什么算是社会工程学呢？它并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样会被高明的社会工程学攻击手段损害利益.
人工智能、无人驾驶等技术近年来实现巨大飞跃，关于机器是否会取代人工的争论成为久经不散的热门话题。
编者按：【双周动态】是【融智未来】推出的产业动态及投融资事件回顾栏目，主要盘点两周内产业大事件和创新企业投融资动态。 01 产业动态 运 营 商 新 闻 科技防疫！看中国移动智慧中台赋能“防疫利器” 围绕“创建世界一流信息服务科技创新公司”的新定位，中国移动基于大数据、AI、区块链等多领域优质能力，打造具有运营商特色、中国移动特点的智慧中台。 云信服务，防疫信息精准触达 云信服务是中国移动上海公司依托智慧中台AI、大数据、云计算等科技能力打造的信息化防疫“武器”，累计发送防疫短信超过1200万条，此
在渗透测试领域有琳琅满目的工具、神器，它们可以大大简化渗透测试的工作量。但很多时候仅仅使用别人的工具是不够的，我们需要自己去编写一些脚本、插件来完成定制的内容，而这样的工作会很大程度提升渗透测试的效率。笔者认为没有最好的工具，如果有则一定是自己根据自己需要开发的工具。
世界第一黑客凯文·米特尼克在《欺骗的艺术》中曾提到，人为因素才是安全的软肋。很多企业、公司在信息安全上投入大量的资金，最终导致数据泄露的原因，往往却是发生在人本身。你们可能永远都想象不到，对于黑客们来说，通过一个用户名、一串数字、一串英文代码，社会工程师就可以通过这么几条的线索，通过社工攻击手段，加以筛选、整理，就能把你的所有个人情况信息、家庭状况、兴趣爱好、婚姻状况、你在网上留下的一切痕迹等个人信息全部掌握得一清二楚。虽然这个可能是最不起眼，而且还是最麻烦的方法。一种无需依托任何黑客软件，更注重研究人性弱点的黑客手法正在兴起，这就是社会工程学黑客技术。
所谓的社会工程学，是指利用人类心理学完成获得建筑物、系统和数据访问权限的艺术，有别于使用黑客计入的入侵手段。
此程序是一份仅提供Web编程模仿技术研究，社会工程师水平锻炼，网络防骗流程深入研究的一份程序，并且程序性质不为公开性。
在渗透行动中，目标往往是获得整个内网的控制权，从而发动 APT（高级持续性威胁）攻击。但在更多时候，我们的起点只是一两台通过 0day / 1day 漏洞攻陷的机器。
金融界3月10日消息 据德国媒体heise在线报道，当地时间3月9日，微软德国CTO Andreas Braun（布劳恩）在一场AI活动中表示，GPT-4将于下周发布，并且是多模态，不仅仅局限于文字，还包括视频。与此同时，Braun还强调GPT-4能够适用所有的语言，用户可以用德语提问，然后获得意大利语的答案。目前最先进的语言模型之一是GPT-3，它在语言理解和生成方面的表现已经达到了前所未有的高度。但是GPT4更加恐怖，未来人工智能将可以更好地帮助人们处理语言任务，比如自然语言处理、智能客服、知识图谱等。
社会工程学经常被Hacker运用在Web渗透方面，也被称为没有“技术”却比“技术”更强大的渗透方式。 历史上，社会工程学是隶属于社会学，不过其影响他人心理的效果引起了计算机安全专家的注意。
Rachel Tobac，@RachelTobac，用户体验研究者（UX Researcher）和社工黑客，曾是社会工程安全测试公司SocialProof Security联合创始人兼CEO，现为公益团队“信息安全和隐私界妇女组织”（WISP）负责人和在线教育平台Course Hero高级用户体验专家，擅长社会工程方向的渗透测试，并连续3年在DEFCON活动中获得社工夺旗大赛（SECTF）中获得第二名。
整理一些我自己常用的安全工具分享给大家: 信息收集 dnsmap dnstracer nmap zenmap traceroute ncat smbclient smtpscan 流量劫持 tcpdump ssldump ssltrip sslsniff 内网嗅探 dsniff ettercap wireshark 代码审计 RIPS Jetbrains WIFI airodump-ng aircrack airmon reaver 综合类工具 BackTrack 5(这里面几乎集齐了所有安全工具！) Bu
2、如何使用Python写一个Webshell检测脚本？ 3、如何使用Python写一个MS17010漏洞检测脚本？ 4、使用PHP开发一个免杀混淆复杂的webshell脚本 5、在渗透测试靶机中，发现PHP脚本被禁用了敏感函数，如何生成一个绕过的webshell
在渗透测试过程中，我们少不了用到后渗透技术，就是说内网渗透（域渗透）。我们今天就来简单学习一下基本的内网渗透（域渗透）技术，信息收集篇。
对于爱好黑客技术的朋友来说，很多人都遇到过类似的问题：你会盗号吗？ 你能盗Q吗？怎么样盗别人的QQ号？
关于“人肉”的技术，大致可以分为三步来做。当然了我这个只是提供思路（学习用的），若用于犯罪
弱密码一直是广大安全人员的痛。web管理页面、公网服务连接密码（如邮件、sql等）、内网终端、服务器登录等都是弱密码的重灾区。一旦被人利用成功，损失巨大。
随着安全技术的不断开发，利用技术弱点进行攻击变得越来越困难，攻击者更多地转向利用人的弱点。
在以前，蜜罐是用来抓熊的。通过伪装成“食物”引诱熊前来享用，最后猎人再将熊一举拿下。
whois（读作“Who is”，非缩写）是用来查询域名的IP以及所有者等信息的传输协议。简单说，whois就是一个用来查询域名是否已经被注册，以及注册域名的详细信息的数据库（如域名所有人、域名注册商）。通过whois来实现对域名信息的查询。
0x00 开头照例扯淡 自从各种脱裤门事件开始层出不穷，在下就学乖了，各个地方的密码全都改成不一样的，重要帐号的密码定期更换，生怕被人社出祖宗十八代的我，甚至开始用起了假名字，我给自己起一新网名”兴才
“人肉搜索”简称人肉，是一种以互联网为媒介，部分基于人工方式对搜索引擎所提供信息逐个辨别真伪，部分又基于通过匿名知情人提供数据的方式去搜集关于特定的人或者事的信息，以查找人物身份或者事件真相的群众运动。
一个人在网络上行走，难免要在各种不同的网站上注册不同的账号，而有些你注册过的网站在被黑客入侵并获取数据库之后，黑客会根据你的密码使用习惯生成字典，或直接使用数据库内的密码，去尝试登陆你的其他平台的用户中心，获取你的更多信息。 如淘宝、卡盟、JD、各大论坛等网站，都会涉及到你的更多信息。
二、网络黑产数据研究与分析 1. 疯狂病毒：日均54万手机中毒，支付病毒猛增 数据来源：腾讯手机管家、腾讯电脑管家 2014年腾讯管家安全软件在PC端上发现超过1.3亿个新增病毒，移动端上发现超过
完整攻击链大概包括信息搜集、漏洞利用、建立据点、权限提升、权限维持、横向移动、痕迹清除等七步，虽然这个站点只经历了前四步，但也具有较强的代表性，组合利用漏洞形成攻击连，拿下管理权限。
一，背景： 用户数据泄露一直是如今互联网世界的一个焦点，从最近的京东撞库抹黑事件，到之前的CSDN，如家用户数据的泄露，服务商和黑客之间在用户数据这个舞台上一直在进行着旷日持久的攻防战。 对于大多数用户而言，撞库可能是一个很专业的名词，但是理解起来却比较简单，撞库是黑客无聊的“恶作剧”，黑客通过收集互联网已泄露的用户+密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户。 以京东之前的撞库举例，首先京东的数据库并没有泄漏。黑客只不过通过“撞库”的手法，“凑巧”获取到了一些京东用户的
原文链接；https://blog.csdn.net/Eastmount/article/details/100585715
wonderkun 撰写 无回复 一组很棒的渗透测试资源，包括工具、书籍、会议、杂志和其他的东西 目录： 在线资源 渗透测试资源 Shell 脚本资源 Linux 资源 Shellcode 开发 Social社工资源 开锁资源 工具 渗透测试系统版本 渗透测试基础工具 漏洞扫描器 网络工具 Hex编辑器 破解 Windows程序 DDoS 工具 社工工具 藏形工具 逆向工具 书籍 渗透测试书籍 黑客手册系列 网络分析书籍 逆向工程书籍 恶意程序分析书籍 Windows书籍 社工书籍 开锁书籍 漏洞库 安全
三、查找上传，一些能上传的页面，比如申请友链、会员头像、和一些敏感页面等等，注意查看验证方式是否能绕过，注意结合服务器的解析特性，比如典型的IIS6.0、阿帕奇等。
Mimikatz是法国人Gentil Kiwi编写的一款windows平台下的神器，它具备很多功能，其中最亮的功能是直接从 lsass.exe 进程里获取windows处于active状态账号的明文密码
不得不说，我感觉自己越来越有营销号的潜力了。前段时间在telegram上看到一个社工机器人，大概是这样的（查询了下自己QQ）：
三、查找上传，一些能上传的页面，比如申请友链、会员头像、和一些敏感页面等等，注意查看验证方式是否能绕过，注意结合服务器的解析特性，比如典型的IIS6.0、Apache等。
想必大家一定过了一个红包满满的春节了，或许也有人利用这几天的时间继续学习提升，最近就会有群里的朋友问我，渗透一个网站怎么做，我说我在公众号里给大家一起说一说，部分内容借用网上的一些资源，大致的说一下我们的思路。
字典破解就是通过比较合理的条件，筛选或者过滤掉一些全字符组合的内容，大幅降低爆破的成本。
内网穿透即NAT穿透，在处于使用了NAT设备的私有TCP/IP网络中的主机之间建立连接的问题。通过映射端口，让外网的电脑找到处于内网的电脑。
在国内的信息安全服务里面，关于员工安全意识，基本就是由几个做服务的人员进行两次培训，PPT用的基本上都是掉了渣的老古董，什么钓鱼，鱼叉之类的各种穿插，赚足眼球，但是企业员工的消化能力非常有限！国外有的乙方公司在社会工程学以及反欺诈方面做的就很好，他们专注于这一方面，国内这块市场应该还没有完全孵化好！
如果技术破坏就业的速度真的比它创造新岗位的速度快，那么人们将不得不重新思考经济理论和政府政策。 埃里克·布林约尔松（Erik Brynjolfsson）的学术风格冷静理智，因此人们很容易忽略他的论点实际是多么的具有挑衅性。他是麻省理工学院斯隆管理学院的教授，过去一年半时间里，他和合作者也是合著者安德鲁·迈克菲（Andrew McAfee）一直主张，计算机技术的惊人进步——从改进工业机器人到自动翻译服务——是过去10至15年里就业增长缓慢的主因。对工人来说更不幸的是，麻省理工学院的学者们预测很多类型的工作
点击标题下《大数据文摘》可快捷关注 摘自： MIT科技评论 （发表于 2014-02-19 12:23） 如果技术破坏就业的速度真的比它创造新岗位的速度快，那么人们将不得不重新思考经济理论和政府政策。 埃里克·布林约尔松（Erik Brynjolfsson）的学术风格冷静理智，因此人们很容易忽略他的论点实际是多么的具有挑衅性。他是麻省理工学院斯隆管理学院的教授，过去一年半时间里，他和合作者也是合著者安德鲁·迈克菲（Andrew McAfee）一直主张，计算机技术的惊人进步——从改进工业机器人到自动翻译服务
据说今年的攻防演练马上又要开始了，很多企业都开始了前期的准备工作。资产的梳理，暴露面收敛是前期必须做且要做好的工作。
一般来说直接whois就可以查到域名的注册商 如果域名商难搞定的话，大家可以试试下面的思路
来源：果壳本文约3600字，建议阅读6分钟本文介绍了 FIDO 无密码技术。 我打开了一个叫“PasswordMonster”的网站，想测试一下地球人最常用的密码有多（不）安全。 输入“123456”，网站显示这个密码被暴力破解的时间是 0 秒。“88888888”则是 0.01 秒。 现在，你很容易就能找到类似“如何设置一个无法破解的密码”的教程，多花心思就可以创建一个密码，一个需要 60 亿年才能被暴力破解的密码。 但问题是，你很有可能记不住。不然为什么很多人只要没被系统提示密码过于简单，就一定会
信息搜集对于后续的渗透测试至关重要，信息的完整性决定着能否挖掘出网站漏洞，本篇文章将从几个方面讲解信息搜集的思路及技巧和具体的防范方法。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
