***社会工程学应用实例

前段时间各大网站出现了用户信息被泄露的问题，有的网站竟然对账号还是用明文传输。一直在思考为什么国内的信息安全存在着这么大的漏洞，其实，最重要的还是相关人员安全意识不够到位，有得过且过的心态，往往这种心态为信息安全留下了很大的隐患。
转入正题。话说***是查找漏洞并进行******，以获取想要的资源（无非是想炫耀或则获取经济利益）。其实还是建议小黑们不要做的太过火，不然的话会让自己很被动滴。。。
作为一名信息安全的从业人员，有很多的东东要掌握，无论作为小黑还是小白，有一种常用的方法，就是在对一个网站或信息对象进行***时要收集各种信息，比如，弱口令的使用和组合、对象的电话号码、日期信息、单位代码、英文简写等等。就像是特工一样，根据获取的信息进行分析组合和测试，以达到获取信息的目的。这个也就是我在这里讲的社会工程学的应用。
社会工程学是一个很大知识范畴，具体的笔者在这里就不再累述了。有兴趣的朋友可以找一下相关资料学习一下。
现在，我以一个简单的实例来给大家演示一下一个单位的官网被***并获取后台权限的社会工程学应用。
1、 从网上捞上一个网站，至于选什么样的网站在与你有什么样的喜好了。现在，我就选了一个从事测绘工作的单位官网。并通过漏扫工具来获取开放的服务。
2、 在浏览器中输入该单位的域名： http://www.xxxx.com，如下图：
 

 

 

3、 熟悉网站建设的朋友都知道网站有后台，方便后期的维护。好吧，我们就利用他的后台。后台的一般进入方法是和网站开发人员的喜好有关系的，比如/admin、/login.asp、login.aspx等等，这个实例就是/admin，如下图：
 

 

 
4、 进入后台界面后就是口令问题了，这个纯粹是看你的经验和资料收集分析的情况了。默认的用户名先试试，比如：admin、root、admini、guest等等，这里我用了最弱智的admin，然后口令的话就根据这个单位的拼音简称+常用的弱口令，如：xxxadmin、adminxxx、admin123、root@admin等等，这个要根据你的实际经验，来分析网站开发或维护人员的口令设置规则，往往我们的潜意识会出卖我们的信息。好的，输入账号和口令后，我们就进入了他们的网站后台，如下图：
 

 

 
5、 就这样弱智的安全隐患导致了网站的很多权限都在我们的掌控中了。
 
总之，作为技术人员，无论你是小黑还是小白都要有一个底线，恪守自己的职业道德。另外，那些存在安全隐患的企事业单位也要好好反思自己存在的问题，不然问题一旦出现，虽然可以亡羊补牢，但也要付出相当大的代价！