社会工程学

1.概述

        信息安全分为“硬安全 ”和“软安全 ”两个部分。所谓“硬安全”主要包括具体的IT安全技术（比如防火墙、入侵检测、漏洞扫描、拒绝服务攻击、缓冲区溢出攻击、等等）；而“软安全”主要涉及管理、心理学、文化、人际交往等方面，与具体的IT技术无关。今天所说的社会工程学，实际上就是“软安全”的范畴。

　　通俗地说，社会工程就是：攻击者利用“人 ”自身的弱点（往往是心理学层面）来获取信息、影响他人，从而达到自己不可告人的目的。

• 普及度不够

       首先，社会工程是信息安全中一个经常被忽视的偏僻角落。即便很多IT安全领域的从业人员，往往也缺少社会工程学的相关常识 。比如很多人都知道什么是防火墙、杀毒软件，但是却从来没有听说过社会工程学 。

•  重视不够

       大部分的安全厂商都把注意力集中在“硬安全”方面（比如现在防火墙厂商、杀毒厂商多如牛毛），很少有安全厂商把社会工程挂在嘴边的。以此相反 的是：现有的信息安全攻击，大都以“软安全”作为攻击者的突破口，只有一小部分是纯粹通过“硬安全”来进行的。（这又是一个二八原理 的生动例子）

　　为什么攻击者喜欢从“软安全”层面进行突破呢？因为人性的弱点是很难在短时间内得到改善的（尤其是人多大公司、大机构，更是如此）。所以，“软安全”方面会遗留很多可以利用的漏洞，攻击者只要善于利用这些漏洞，就可以轻易侵入。

• 社会工程学的用处

        不过，社会工程学是鲜为人知、重视不足，还不至于让我花这么多口水大力忽悠。还有另一个原因是：社会工程学的常识非常有用，而且它的用处不限于信息产业（几乎所有行业都用得着）。具体有些什么用处呢？

　　首先，了解起码的社会工程学常识能够让你对相关的攻击手法有基本的 防范，不至于轻易上当。要知道，有很多人被攻击者利用了之后，自己还浑然不觉。

 2.信息收集

• 信息收集介绍

        信息收集就是通过各种手段去获取机构、组织、公司（以下统一简称“机构 ”）的一些不敏感 信息。为什么特地强调“不敏感”呢？如果信息不敏感，就不会有特别严格的访问限制，攻击者也就容易得手。而且在获取这种信息的过程中，不易引起别人的注意，降低了攻击者自身的风险。

•  信息收集的作用

       大部分社会工程攻击者都会从信息收集入手。但信息收集往往不是攻击者的最终目的，仅仅是攻击者进入下一个阶段的前期准备工作。大多数攻击者拿到这些信息之后，多半会用来伪造身份自己，以便进行后续的身份假冒以及具体如何该伪造身份和冒充。

•  敏感/内部信息

•  某些关键人物的资料

       这里“资料 ”包括该人物所处的部门、担任的职位、电子邮箱、手机号、座机分机号等。此处的关键人物 ，不一定是名气大或位高权重的人，而是指这些人位于攻击路线上的关键点。攻击者必须利用这些人来达到某种目的。

• 机构内部某些操作流程的步骤

       每个机构内部都有若干操作流程（比如报销流程、审批流程等），这些流程对于攻击者非常有用。一旦摸清了这些流程的细节，攻击者就能知道每一个攻击环节会涉及哪些对象，这些对象分别处于什么部门？担任什么职务？具有什么授权？

• 机构内部的组织结构关系

       机构的组织结构关系包括如下几个方面：各个部门的隶属关系、部门之间的业务往来、职权的划分、某个部门是强势还是弱势等等信息。

• 机构内部常用的一些术语和行话

        大部分攻击者都会收集一些机构内部的术语和行话。当攻击者在和机构内的其他人员交流时，如果能熟练地使用各种专用的术语和行话，就可以有效打消其他人的疑虑，并获得信任。

• 如何收集到敏感信息

 通过网站和搜索引擎

        比如，很多机构的内部操作流程直接放在官方网站上，可以轻易获取。还有很多敏感信息，攻击者通过Google就能找到很多。    

通过离职员工

        有些时候，某个员工（哪怕是一个很小的角色）跳槽到竞争对手那里，就可以带来很丰富的信息。至少能拿到原公司的通讯录；稍好一些的话，还能拿到组织结构图以及更深层次的一些东西。

通过垃圾分析

        很多机构对于一些普通的打印材料，直接丢到垃圾桶，不会经过碎纸机处理。所以攻击者可以从办公垃圾中找到很多有用的信息。

　　举一个简单的例子：很多公司每当有新员工入职，人事或者行政人员都会打印一张清单给新员工。清单上面可能 会有如下内容：

　　公司内部常用服务器（比如打印服务器、文件服务器）的IP地址

　　新员工外部邮箱的名称和默认口令

　　公司内部系统（比如ERP系统、MIS系统等）的用户名和默认口令

　　某些内部系统的简单使用说明

　　如果某个新员工没有立即 修改默认口令（有相当比例的新员工不会在入职当天立即修改所有 默认口令），并且把这个清单直接丢到垃圾桶。那对于垃圾分析者来说，可就捡了大便宜啦！

　　不过，垃圾分析方法属于苦差事。使用此招数，每次都要着鼻子，在垃圾箱里翻上好几个小时。但还是有很多商业间谍乐此不疲。

通过电话问讯

       某些攻击者直接打电话给前台或者客户服务部，通过某些技巧（后面的帖子 详述），就能套出很多有价值的信息。

　　为什么攻击者特别偏爱于前台和客服人员？这里面可是大有讲究啊！一般来说，前台和客户服务人员都属于机构内的服务支撑部门。这些部门的员工经常被培训成具有如下特质：不怨其烦、热情好客、乐于助人。所以，这类员工会比较有耐心，也比较能满足攻击者的一些（哪怕是有点无理的）要求。

沟通交流

       说到施加影响以及相关的技巧对他人施加影响”的种种伎俩。这些伎俩似乎不够光明正大，但常常能收到奇效。

博取好感

       博取好感是施加影响的手法中，最基本的招数。具体的技巧有很多种，咱今天只介绍常见的几种。

通过外在特征的“光环效应”

       此处所说的外在特征，包括相貌、嗓音、着装、甚至姓名等诸多方面；此处所说的“光环效应 ”（也叫光晕效应、晕轮效应），是指对某人的某个局部特征的看法被扩大化，变成对此人整体的看法。这么说比较抽象，咱来看下面几个例子。

　　举例1（以貌取人）：

　　据说当年马云创业时，出去推销产品，别人一看到他都觉得他是坏人。显然，相貌和人品没有必然联系。但是很多人在潜意识里，都会把长得歪瓜裂枣的人当成坏人。

　　举例2（以名取人）：

　　比如很多歌星、影星仅仅由于演技好，其fans就把演技扩大化，认为他们/她们样样都好。其实演技好和人品好没有必然联系。

通过相似性来博取好感

        所谓的“相似性 ”，范畴很广，常见的有如下一些：同学、同乡、同校（校友）、爱好相同（比如都喜欢看球，甚至都喜欢某个球星）、经历相同、等。

　　很多攻击者善于通过看似不经意的闲聊，和被攻击者扯上某种关系，让被攻击者的好感油然而生。

通过互惠心理来骗取好处

      互相帮助才意识到互惠原则的效果竟然如此巨大。真是不看不知道，一看吓一跳。具体的例子显示中举了很多，这里主要总结互惠原则的两种运用招式。

通过社会认同来施加影响

       所谓的“社会认同”，通俗地说就是人云亦云、随大流。大多数人都有这个毛病，否则也不会有那么多跟风、赶时髦的家伙了。

　　那社会工程者如何运用这个伎俩？一个常见的方法就是“造势”。通过制造某种舆论来引导（或者叫“误导”）被攻击者，从而达到目的。这种方式有两个要点：

　　首先，要达成某种规模效应。一旦规模形成，由于“社会认同”的影响，就会变成正反馈，导致越来越多的人被卷入。

　　其次，要注意引导的技巧。具体要如何“引导”？常见的有：“制造狂热”、“制造恐慌”、“制造愤怒”、“制造反感”等方式。当人们处于狂热、恐慌、愤怒、反感等状态时，会变得情绪化。这时候，感性的因素就会占主导，同时会丧失理性的判断，从而被一小撮人所利用。

　　从本质上分析，这两个要点依然是借助了心理学层面的因素来起作用。关于造势的例子，大伙儿可以看看源自IT行业的FUD（Fear, Uncertainty, Doubt）手法。

通过权威来施加压力

      大部分人都有服从权威的倾向。因此攻击者可以通过树立或借助权威，让对方服从自己的一些不太合理的要求。

　　比如有的攻击者假冒成某VP（Vice President）的秘书，声称该VP急需某某文件或资料，那么对方就会迫于压力而答应。

3.攻击手法

•  伪造身份

 什么要伪造身份？

        伪造身份说白了就是“伪造身份”。攻击者当然不会轻易暴露自己的真实身份，自然要找一个身份来伪装一下。一般来说，攻击者会根据面对的目标来选取针对性的伪造身份。选好伪造身份之后，还要在某些细节上稍微粉饰一下，让人觉得更加逼真。

　　总而言之，伪造身份要为后续的“施加影响 ”埋下伏笔，打好基础。

伪装目的

1. 博取信任
2. 博取好感
3. 博取同情
4. 树立权威性