• 如果你喜欢Time_泽~少的博客,请按ctrl+D收藏吧!
  • 网络安全/信息技术博客

社会工程学攻击

 

社会工程学(Social Engineering)

社会工程学攻击
一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。
取得自身利益的手法,近年来已成迅速上升甚至滥用的趋势。那么,什么算是社会工程学呢?
它并不能等同于一般的欺骗手法,社会工程学尤其复杂,即使自认为最警惕最小心的人,一样会被高明的社会工程学手段损害利益。
社会工程学陷阱就是通常以交谈、欺骗、假冒或口语等方式,从合法用户中套取用户系统的秘密。
社会工程学是一种与普通的欺骗和诈骗不同层次的手法。
因为社会工程学需要搜集大量的信息针对对方的实际情况,进行心理战术的一种手法。
系统以及程序所带来的安全往往是可以避免的。而在人性以及心理的方面来说。
社会工程学往往是一种利用人性脆弱点、贪婪等等的心理表现进行攻击,是防不胜防的。
借此我们从现有的社会工程学攻击的手法来进行分析,借用分析来提高我们对于社会工程学的一些防范方法。
熟练的社会工程师都是擅长进行信息收集的身体力行者。
很多表面上看起来一点用都没有的信息都会被这些人利用起来进行渗透。
比如说一个电话号码,一个人的名字。后者工作ID的号码,都可能会被社会工程师所利用。
在猫扑网上发现流传着一句话,那就是我们所说的→人肉搜索达人,社会工程学身体力行者。
最近NOHACK出了新书《社会工程学》,作者是范建中,大家可以做为参考
社会工程学是一种黑客攻击方法,利用欺骗等手段骗取对方信任,获取机密情报。国内的社会工程学通常和人肉搜索进行联系起来。
总体上来说,社会工程学就是使人们顺从你的意愿、满足你的欲望的一门艺术与学问。
它并不单纯是一种控制意志的途径,但它不能帮助你掌握人们在非正常意识以外的行为,且学习与运用这门学问一点也不容易。
它同样也蕴涵了各式各样的灵活的构思与变化着的因素。
无论任何时候,在需要套取到所需要的信息之前,社会工程学的实施者都必须:掌握大量的相关知识基础、花时间去从事资料的收集与进行必要的如交谈性质的沟通行为。
与以往的的入侵行为相类似,社会工程学在实施以前都是要完成很多相关的准备工作的,这些工作甚至要比其本身还要更为繁重。
你也许会认为我们现在的论点只是集中在证明“怎样利用这种技术也能进行入侵行为”的一个突破口上。
好了,其实这样够公平的了。无论怎么说,“知道这些方法是如何运用的”也是唯一能防范和抵御这类型的入侵攻击的手段了。
从这些技术中提取而得出的知识可以帮助你或者你的机构预防这类型的攻击。
在出现社会工程学攻击这类型攻击的情况下,像CERT发放的、略带少量相关信息的警告是毫无意义的。
它们通常都将简单地归结于:“有的人通过‘假装某些东西是真的’的方式去尝试访问你的系统。不要让他们得逞。”
然而,这样的现象却常有发生。
那又如何呢?
社会工程学定位在计算机信息安全工作链路的一个最脆弱的环节上。
我们经常讲:最安全的计算机就是已经拔去了插头(网络接口)的那一台(“物理隔离”)。
真实上,你可以去说服某人(使用者)把这台非正常工作状态下的、容易受到攻击的有漏洞的机器连上网络并启动提供日常的服务。
也可以看出,“人”这个环节在整个安全体系中是非常重要的。
这不像地球上的计算机系统,不依赖他人手动干预、人有自己的主观思维。
由此意味着这一点信息安全的脆弱性是普遍存在的,它不会因为系统平台、软件、网络又或者是设备的年龄等因素不相同而有所差异。
无论是在物理上还是在虚拟的电子信息上,任何一个可以访问系统某个部分(某种服务)的人都有可能构成潜在的安全风险与威胁。
任何细微的信息都可能会被社会工程师用着“补给资料”来运用,使其得到其它的信息。
这意味着没有把“人”(这里指的是使用者/管理人员等的参与者)这个因素放进企业安全管理策略中去的话将会构成一个很大的安全“裂缝”。
一个大问题?
安全专家常常会不经意地把安全的观念讲得非常的含糊,这样会导致信息安全上的不牢固性。
在这样的情况下社会工程学就是导致不安全的根本之一了。
我们不应该模糊人类使用计算机或者影响计算机系统运作这个事实,原因我在之前已经声明过了。
地球上的计算机系统不可能没有“人”这个因素的。
几乎每个人都有途径去尝试进行社会工程学“攻击”的,唯一的不同之处在于使用这些途径时的技巧高低而已。
第一部分:社会工程学—信息刺探
一、善用你身边的信息
尽量利用现有所知道的信息,这些信息将能处理好突发事件,此类信息指的是规章、制度、方法、约定。规章,指的是一个行业的规章,我们可以认为是行规,或是内部约定,比如,货摊A为了抢掉货摊B的生意,故意低压低价格来龚断是不对,违反了不正当经营法了。 所以我们要尽量了解各行各业的之间的此类信息,比如校园,只有领导层内的人员才会拥有一份全校的师生的联系名单,服务行业通常有这样和那样的内部约定,了解此类信息对我们非常有利。
除了我们必须知道那些方法外,还需要的是业内术语。看到这儿,小菜一定会问什么是术语了,它主要有什么用?嗯,业内术语即不同行业之间的”黑话”,比如,我们黑客界的网络钓鱼术语,一般人会认为是到网上去钓鱼。当然,业内术语用处大着了,社会工程学的身份都是经常变换的,假设我们要冒充银行业务员,就必须知道一些压缩贷款、反担保、关联企业……等等一些术语,否则当我们试图拨通一个分行经理的电话,他们就会出现激警,即经理发现你的攻击行为,由此可见术语的重要性。
所以在一个攻击的起始,我们得做一些准备,假设我们的目标是一个数据恢复的企业,我们可以去买一本关于数据恢复的书,熟悉一些术语的概念。顺便伪装成一个访客看看一些员工办室墙上或是桌上的规章制度,如果去他们的垃圾处理场所,总会有一堆废纸什么的,但这里面包含了重要的信息,我们可以称之为垃圾的价值,比如会有一些客户书,员工身份号联系等。现在,小菜们一定明白,任何的信息都有利用的价值。
二、学习侦探的伪装
假设我们获取了目标部分信息,但必须通过对话得到更加敏感的信息,我们不可能直接让对方发现吧,所以我们得先完成身份的伪装。假设一个小菜的目标是某电器分行的销售部,那么我们最好伪装成另一分行的销售人员,而且我们知晓他们公司内部的销售术语,或我们再带一份分行销售报告书,我想对方一定不会怀疑你不是内部人员的。
任何的社会工程学师都会使人认为他是可信任的,友好的,有礼貌的,然而,这都是他们伪装出来的假象。如果要表现出文质彬彬,这会要求我们行为与语气上伪装。社会工程学师有一点比侦探更妙的地方是不需要去往自已嘴上贴胡子,哈哈。所以说,如果小菜想让MM喜欢的话,不妨去模仿她心目中的男孩。
再谈一下伪装的要点,任何情况不不要泄露自身的真实信息。或许我们会碰到一些意外事件,所以,在开始准备的时候,带上一张没有多少余额的手机,用完后就别再用了,这样可免遭怀疑。还有比如通讯账号QQ,永别使用自已的QQ,最好为自已准备一个信封,目标信息拿到后,将对方拖入黑名单。
三、人性的弱点
每个人都有心理弱点,没有人永远没有心理弱点。可以说,此部分是社会工程学重要的部分,他们能够利用人们的信任、乐于助人的愿望和同情心使你上当。那么,我们应该怎样去发现这类弱点呢?很简单,我们只要构造一个精心的问题,冒称他们的同事,设计一个帮助他们解决一个问题,那么,对方便会信任我们了,我们会更轻松获得想要的信息,而且更不容被发现。菜鸟们一定经常有很多问题吧,但他们总是茫目的去找一个人帮助,或是想认一个师父,我有个这样的经验,一个晚上我收了50个徒弟,然而只是开了一个玩笑,我的方法很简单,直接在Google搜索:本人找师父,或在qihoo搜索:找师父。然后帮助他们解决一个问题,两三句话便获取了他们的信任,有的还打算花钱请我,但我告诉他,只是开了一个玩笑,这个实例利用了他们对帮助的人信任。此部分最具危害性,所以我进行分开来讲,请参照社会工程学--心理学应用。
四、组织信息 构造陷阱
假设现在我们通过目标的同事撑握了信息,比如目标的真实姓名、联系方式、作休时间…等等。这还不够的,高明的社会工程学师会把前前后后的信息进行组织、归类、筛选。以构造精心准备的陷阱,这样,可使目标自行走入。我打个比方吧,声明哦,这是我朋友的一个案例,
A:你现在打不开论坛对吗?
B:是的,打开是一片空白
A:那是由于身份认证错误,我是XX论坛管理员,你要把论坛的用户名与密码发送到XX,以免系统稍后会恢复你的访问。
B:现在吗?
A:是的,我得马上给你恢复,不然我作废账户了。
不一会儿,朋友很顺利得到他在某论论的VIP账户,论坛为什么打不开了,被DDOS了,从这个例子我们可以看出组织信息的重要性,如果B能正确回答第一个问题,A可能会考虑换种方式,这个案例非常的简单,那就是B对计算机方面不了解,害怕账户丢失,一点也不怀疑A就给了密码,而这个密码已乎通用了,现在大多数网民的密码几乎都为通用的,这样会造成非常大的损失,例如一个黑客,他拖走了这个论坛的库(数据库),也许他的目标就是你,将其论坛的加密的密码进行破解,那么的你密码就已经泄漏了,这并不重要!要命的是如何你的密码被发现是通用的(通常社工者拿到一个密码之后会先测试一下你的邮箱密码是不是也是同样的),如何被确认为是通用的,那么就将会发生损失最大的“一个密码引发的’血案’”!所以现在小菜明白前辈们总告诉你不要使用同一个密码,永别把密码告诉第三者。
第二部分:社会工程学—心理学的应用
从前面所说,我们知道人性的弱点在社会工程学中是重要的一部分,实际上,这是一种心理学的应用,是社会工程学的一个分支,本文从心理学角度分析社会工程学师凯文.米特尼克所著《欺骗的艺术》三个典型攻击案例,为大家揭开心理学在社会工程学中的应用。为节省篇幅,我不打算将案例拷贝过来,所以请参照光盘附带的《欺骗的艺术》文档进行阅读。
信誉支票
攻击者需要从国家银行查询一个用户的交易记录,然而,银行不可能答应这样的要求,所以攻击者开始他的动作。第一个电话,攻击者拨通了国家银行的电话,以私人问题顺利从吉姆.安德鲁斯获知内部专业术语。第二个电话,攻击者以信誉支票的客服代表拨通银行开户处,以调查方式获取了他想要的信息。第三个电话,攻击者以国家银行职员拨通信誉支票处,最终知道目标的用户的账户交易记录。以下标有双引号的文字,均为引用凯文.米特尼克的分析与总结。
“我给银行打电话时,第一位年轻的小姐,吉姆,在我询问他们如何向信誉支票确定自己身份时就有所迟疑,她犹豫着,不知道是否应该告诉我”。犹豫给我们传递了一个有效的信号,可以说此时的心理想法完全在于她左脑的判断。左脑主管言语活动(听、说、读、写)、数学运算、逻辑推理等具有连续性、有序性、分析等功能,是进行抽象思维的中枢,所以这个时候我们需要给对方一个可信的理由。我想你一定有过在外借钱的经验,当你试图询问一个陌生的小姐时,她会有点儿犹豫,而如果你告诉她,你是一名导演,在外迷路了,并给她一张导演名片,我想陌生的小姐都不会拒绝,因为小姐确信他是一名导演,名片使她无从怀疑。
“你必须依靠自己的感觉,仔细的倾听马克[受骗者]的说话内容和说话方式”。我们每个人的人生是奠基于两种形式的信息传送上。第一种是内在的传送,那是在内心里的描绘、细语和感受;第二种是外在的传送、包括言词、语气、表情、举止、行为等来与外界接触,这决定了社会工程学是否成功。社会工程学师必须通过外在的传送来筛选最有用的信息,来判断对方的性格,感觉类型,心理特点。各种情绪的反应过程和导演的工作很像。不错,他们为了确实达到戏剧效果,就得掌握住观众的视觉及听觉。如果他要你害怕,就会提高音调,并出其不意地在银幕上跳出意想不到的画面;如果他要你兴奋,他会利用音乐、灯光,以及会有那种效果的的画面。即使是一个素材,导演也可以弄出一部喜剧或悲剧来,全看他是打算如何在银幕上呈现。如果我们要控制一个人的心智活动,产生生理的行动,我们完全可以模仿斯皮尔博格导演一样灵巧。
“获得公司职员认为无关紧要的信息(实际上它是有用的)”。人人都有一种心理,那就是自已无关紧要的信息随处放着,或许,他们认为很方便。我曾住在校外时,总有一些人让我帮他们去取钱,然而,他们总把密码写在存拆卡上,他们似乎认为别人没有卡就不能取钱,便如果我拿着他的身份证去挂失呢?你经常一定看到QQ上某人的个人资料吧,通常是站点、一段数字、手机、邮件、个性签名,QQ-Zone,这给攻击者很大便利,他们会很快判断你的事业,心理弱点。某天一个陌生人说,我与你是同一个学校(公司),我知道你的名字,请别怀疑,快去更改你的资料吧,最好不要泄露你真实的联系方式,社会工程学师都精于此道。
一美分的手机
无线通讯公司发起了一个大规模的促销活动,只要你登记接受一种资费方式,便可以得到一部全新的手机,只收一美分,然而精明的人知道有很多问题要问清楚。然而攻击者讨厌捆绑资费方式,他开始行动……第一个电话拨往西吉拉德电器连锁店的泰德,谎称是顾客很顺利套取到另一职员姓名威廉.哈德利。第二个电话拨往北广街连锁店的凯蒂,冒称威廉.哈德利使凯蒂信任他是连锁店内部人员,并遵从他的要求将一美分的手机售给泰得.岩西(攻击者)。
“人们会很自然地相信熟悉公司内部的业务流程和专业用语,并声称自己是公司同事的人”。在这一部分,我试图以心理学中的NLP神经语言学来解释,简单说NLP就是研究语言,不论是有声或是无声,对神经的影响。我们的能力是奠基于自我控制神经系统的能力,凯文.米特尼克就是透过神经系统传送特别的信息。你知道社会工程学经常使用的技法便是冒称身份,使对方认可为内部人员。然而以NLP来说,这种技法称之为模仿,NLP的三种形式:信念系统、心智序列、生理状态,这三种形式你并不用花过多时间理解。事实上,NLP是强调行为、内心储忆、生理状态模仿,而社会工程学师冒称身份以及使用专业术语,那是行为上的模仿。如果在行为的模仿无误,别人便不会对你产生丝毫怀疑,由于公司强调的是团队与协作精神,这成为每个职员左右铭,对于同事的请求与帮助都不会怀疑其可信,否则便与公司的团队精神背道而驰,除非对方细心确认。
有必要单独介绍一下NLP内心储记作用,它经由五类感觉器官而测得的,换句话说,我们对周遭的认识,是透过视觉、听觉、触觉、嗅觉、味觉而传送的讯息。所传至脑子的信息就称之为感元,其中以视、听、触感元为主。不同的人感元不同,有些人觉得图画对他们会有较大诱力,另外一些人都具种感觉倾向,内心储记很少在社会工程学中利用,因为这种攻击来去匆匆以保证免遭发现,若想一个星期使人信任你,未为失一个很好的方法。很多人一定有过追女生的经验,你们一定会问她:你喜欢看电影还是听歌?或是喜欢小饰物?假设她说喜欢看电影(视觉型),你可以夜晚放烟花,或是在一堆气球写上我爱你,那么,对方会开始对你产生信任感。你现在一定明白一些家庭不合,假设男的是听觉型,女的视觉型,女的若是问,你爱我吗?若男的说我爱你,女的说我无法感觉你爱我,很显然,他们存在信任的危机,如果男的开着车去她公司送一束鲜花,结果显而易见。
网络故障
鲍比的任务:对斯达伯德造船长办公室电脑进后木马植入。第一个电话,鲍比冒称服务中心艾迪.马丁,谎称网络问题的出现,并套取到计算机端口号。第二个电话,鲍比冒称鲍勃请求厂技术支持封掉端口号。第三个电话,汤姆.狄雷的求助掉入艾迪的陷阱,第四个电话,汤姆完全信任艾迪了,运行了鲍比的木马程序。
“这一次由于帮他解决了问题,令对方心存感激,于是汤姆同意下载一个软件到他的计算机上”。这种心理很多人都存在,因为我们无法质疑对方诚意的帮助,而松懈对攻击者的信任,若不能识别这种伪造的帮助的话。正如凯文.米特尼克所说:那很令人惊讶,基于那些精心构造的请求社会工程师可以轻易地让人们帮他做事。前提是引起基于心理作用的自动回应,依赖于当他们觉得这个打电话的人是盟友时人们心理的捷径。人们建立信任有多种途径,然而他们都是无恶意的有意或是无意地通过交谈与帮助建立信任关系。可社会工程师才不这样想,他可以调查你暂时遇到哪些问题?如果你不经意在论坛或Google讨论组进行求助,他会很轻松帮你解决,否则他可以自行给你制造问题,以期建立信任关系。对于伪帮助式的攻击,我们中国人或是大部人心理都存在这样的弱点,人是善良的,不可能时刻对攻击者保持警惕性,除非个人进行细心验证。
第三部分:社会工程学—反查技术
什么是反查技术?即反侦查技术。在黑客攻击中,最重要的一部分不是成功侵入主机,而是清除痕迹,不要让管理者发现被侵入及数据被伪造。同理,社会工程学也有这样的概念,那么,我们得清除哪些痕迹以免遭网络0察(以下称之为网警)的发现?这一部分我们从网警角度来看问题,看看他们如何来能否找到社会工程师的蛛丝马迹。或者一句玩笑话:他们无法那么轻松找到一点痕迹。

原创文章,转载请注明: 转载自Time_泽~少的博客

本文链接地址: 社会工程学攻击

社会工程学攻击



Time_泽~少的博客, 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权 , 转载请注明社会工程学攻击
喜欢 (1)or分享 (0)
Time_泽 ~少
关于作者:
计算机专业/网络安全技术,社会工程学。
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址可不填