社会工程学基础见解

最近社会工程学很火，写一小波见解

社会工程学

什么是社会工程学

按照百度说法：社会工程学(Social Engineering，又被翻译为:社交工程学)在上世纪60年代左右作为正式的学科出现，广义社会工程学的定义是:建立理论并通过利用自然的、社会的和制度上的途径来逐步地解决各种复杂的社会问题，经过多年的应用发展，社会工程学逐渐产生出了分支学科，如公安社会工程学(简称公安社工学)和网络社会工程学。

社会工程学（Social Engineering） 是一种通过人际交流的方式获得信息的非技术渗透手段。不幸的是，这种手段非常有效，而且应用效率极高。事实上，社会工程学已是企业安全最大的威胁之一。狭义与广义社会工程学最明显的区别就是是否会与受害者产生交互行为。广义是有针对性的去对某一单一或多一目标进行攻击的行为。

---

常见社工

社工三大法宝：网络钓鱼、电话钓鱼、伪装模拟
狭义三大法宝：谷歌、社工库、QQ
社工师的分类：黑客、渗透测试、JD、GOV、公司内部员工、欺骗人员、猎头、销售人员、普通人

信息泄露方式有很多种，常见的的有：
在网上注册时，垃圾网站被黑客攻入（服务器或者数据库被攻击），黑客获取信息
网站内部人员将信息贩卖，然后获取信息
通讯被窃听，http协议用post或者get提交时，使用火狐进行拦截
撞库，比如你在这个A网站注册时，使用了一个密码，在B网站也使用这个密码，知道A网站的密码，自己也可以用这个密码登录B网站，这就是撞库
为什么攻击者会选择社会工程学进行攻击行为？

因为它是最便捷的攻击方式。攻击者在搞定一个极其复杂的内网环境或者高度防御系统的时候，仅凭外网是很难找到突破口，外网的安全是相对安全的。但是，通过社工拿到一个泄露的账户和密码或者一个email来定位实施单一攻击（类似APT的水坑）。还有就说你是安全技术人员，招标公司的，运维，实在不行你就去问问路套路一下里面的员工和看门大爷，只要有机会接触到公司的内网，通过一些工具直接打穿内网，外网代理进内网，一首《凉凉》送给他们。在国内，由于社工造成的信息泄露事件不算多，多是直接sql注入脱库，可能是某些公司被攻击之后没有发现而已，也可能是法网恢恢。

---

社会工程学分类

社会工程学攻击包括四个阶段：

研究：信息收集（WEB、媒体、垃圾桶、物理），确定并研究目标
钩子：与目标建立第一次交谈（HOOK、下套）
下手：与目标建立信任并获取信息
退场：不引起目标怀疑的离开攻击现场
通常社会工程学攻击可以划分为两类：

基于人的社工：搭载、伪造身份、偷听、窃取、反社工、垃圾桶工程
基于计算机的社工：弹出窗口、内部网络攻击、钓鱼邮件、419尼日利亚骗局、短信诈骗

信息收集是社会工程的一个重要环节。信息收集同时也是一个最费时、最费事、最费力的阶段，但这往往是决定攻击周期内成败的关键要素，具体可以看一下《我是谁，没有绝对的安全》里面的关键环节。

常见信息包括：真实姓名、性别、出生日期、身份证号、身份证家庭住址、身份证所在公安局、快递收货地址、大致活动范围、QQ号、手机号、邮箱、银行卡号（银行开户行）、共同朋友的资料、支付宝、贴吧、百度、微博、猎聘、58、同城、网盘、微信、常用ID、学历（小/初/高/大学/履历）、目标性格详细分析、常用密码、照片EXIF信息。

常见可获取信息系统包括：中航信系统、春秋航空系统、12306系统、三大运营商网站、全国人口基本信息资源库、全国机动车/驾驶人信息资源库、各大快递系统（越权）、全国出入境人员资源库、企业相关系统、信息资源库等。

---

常见方法

交流模型

在通信交流中，是一个发送器发送给另一个接收器，而交流则是从一个实体传送到另一个实体的过程，交流是一个双向的过程，这个过程发生着信息的交换、传播以及处理。沟通是我们把别人带到思维空间，分享个人的信息，所有的参与者都必须有一种彼此的心理位置概念，他们中间存在一个可沟通的渠道。

人的交流会传送两个层次的信息：语言和非语言，社工就是利用这些语言和非语言的潜在信息，改变目标的感知，从而得到想要的结果。交流的基本含义是发送一个信息包给既定的接受者（通俗解释：说话），信息中会包含多个信息源，用来描述这个“事件”即：通信过程，有名的通信模型是——“Shannon-weaver模型”鼻祖模型。模型包含“信息源、信息、发送器、信号、信道、噪声、接收器、信息目的地、误差概率、编码、解码、信息率、信息容量”，此模型也被称为传递模型。

网络钓鱼

网络钓鱼（Phishing，与钓鱼的英语fishing发音相近，又名钓鱼法或钓鱼式攻击）是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息）的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。它是“社会工程攻击”的一种形式。网络钓鱼是一种在线身份盗窃方式。

钓鱼阶段：信息收集-信息分析-钓鱼网络-下饵-上钩
钓鱼攻击：采用钓鱼的方式向某个特定的目标系统发起攻击，并最终成功获取到被攻击目标中的信息。比如：Adobe reader的漏洞、Word的漏洞、flash漏洞、IE漏洞。
钓鱼可以借助邮件或者信息传播途径，将含有恶意程序的文档发送给目标服务器中，使之有意或无意的点击恶意程序从而控制目标主机。常见的钓鱼手段包括：鱼叉式网络钓鱼攻击、水坑式网络钓鱼攻击、钓鲸、APT等。

Maltego

Maltego作为一款成功的信息收集工具其功能强大，它不仅可以自动收集到所需信息，而且可以将收集的信息可视化，用一种图像化的方式将结果呈现给我们。

信息刺探

在入侵前，通常都会对目标进行一次较为全面的检测，所谓不打没有把握的仗，入侵前的信息刺探很重要，通过对目标主机的检测，我们可以知道对方主机操作系统类型，开放了哪些网络服务，是否存在漏洞等信息。将搜集到的信息整理起来将会对后面的入侵工作起到事半功倍的效果。同样，社工也需要在入侵前进行踩点。

通过QQ号获取信息，包括用户真实姓名、昵称。通过QQ空间获取照片、行为特征、好友。
通过社交网络微博、微信、知乎、贴吧、虎扑等获取用户相关信息。
通过手机号找出QQ号，腾讯QQ提供了匹配通讯录的功能，这一功能本意是想让你添加通讯录里的好友，但由于手机号匹配之后还是会显示你的部分信息，我们可以通过这部分信息来查找。
一般来说，越是设置得非主流的越容易查找，越是设置得大众的越难查，首先我们可以复制昵称，注意现在手机上的QQ是直接提供复制功能给用户的，如果查到的结果很多，我们可以限制搜索条件，比如年龄、性别等。

推荐公众号：娜璋al安全之家
侵权删 转载请标明出处