社会工程学——无法忽略的另类安全

随着安全技术的不断开发，利用技术弱点进行攻击变得越来越困难，攻击者更多地转向利用人的弱点。

社会工程学越来越强力地挑战了将信息安全集中于防火墙、入侵检测系统和杀毒软件的传统信息安全。

社会工程学由现实中的一些欺骗手段，延伸应用到网络之中而形成的。社会工程学的出现，使得入侵渗透更加容易。

社会工程学是什么？

简单的来说，就是骗。社会工程学是高于普通欺骗的一种复杂手段，是一种通过对受害者本能反应、好奇心、信任、贪婪等心理进行欺骗、伤害等手段，取得自身利益的手法，近年来已经呈现迅速上升甚至滥用的地步，希望通过这篇文章能让大家尽量避免被社工的悲剧。

由于运用社会工程学的门槛比较低，所以利用社会工程学理论来攻击网络的越来越多，攻击手段也日趋成熟，技术含量也是越来越高。下面我们来分析社会工程学中很经典，很有代表性的一个典例。希望大家能在这个故事中了解到社会工程学理论的应用。

斯蒂夫的故事

斯蒂夫是一个医学器材公司的职员，他最近在做一件新型的智能心脏。斯蒂夫十分苦恼，他思考的如何降低心脏支架的动力消耗方面却没有丝毫的进展。

电话响了，技术支持部的雷蒙。

“这是一个善意的来电，有三台服务器挂掉了。应该在星期四令你的文件正常使用。”

“这真让人无法接受，”斯蒂夫很沮丧。他们不知道自己没电脑不可以工作吗？“我用家里的电脑连线，两个小时后，我要访问我的文件。懂了吗？”

“我打的每一个电话，对方都要求先处理他们的事情。”

“我现在的工作公司十分重视，我今天要完成它。”

“星期二恢复你文件的使用，怎么样？”

“不行，要现在！”

“好吧，”雷蒙说，斯蒂夫还能听到他无奈的叹了口气。“我该怎么让你连线，你使用RM22服务器，对么？”

"RM22和GM16。”

“很好，可以绕过一些程序来节省些时间，我需要你的用户名和口令。”

为什么他需要我的口令？“你姓什么？主管是谁？”

“雷蒙。听着，你被雇用的时候，填了一个表格写下了你的密码。我可以找到这个文件，然后告诉你？”

斯蒂夫同意。他等着雷蒙取出文件，最终返回到电话前，斯蒂夫可以听到他在摆弄一堆文件。

“哈，找到了，你写的密码是Janice。”

Janice是他母亲的名字，有时他会用做密码，很可能在他填雇用登记表时就用它做密码了。

“是的，是这样。”他承认道。

“那好，我们正在浪费时间。你知道我是真的，你想让找走捷径帮你快速的取回文件，就必须给予我帮助。”

“我的用户名是cramer，密码是pelicanl。”

“三个小时内，我把它恢复正常，”

斯蒂夫吃过午饭，便来到他的计算机前，发现他的文件已经恢复了。

克雷格中的故事

克雷格是一个商业间谍。

这次收到一个紧急任务。对方公司叫做双星，一家500强企业。对于我来说，大公司比小公司容易得多。在小公司里你很可能会被对方认出来不是自己所声称的那个人，而这种情况会把你的一切都毁了。

客户发过来一封传真，说是一些医疗杂志上报道了双星医疗研究的全新设计的心脏支架，叫做STH-100。由于事情炒得很热，记者们已经替我做了前期调查工作。

于是我打电话给他们公司接线员：“我答应与你们的一位工程师联系，但我记不起他姓什么了，只记得他的名字是以S开头。”接线员说：“有两个人，一个叫斯科特，一个叫塞姆。”我冒着风险间：“哪一个在STH-100工作组？”她不知道，我只好随意选了斯科特。对方拿起电话，我说：“嗨，我是麦克，收发室的。我们收到一个寄给STH-100心脏支架方案组的联邦快递，应该给谁？”他告诉我方案组长的名字，杰瑞，他还帮我查到了电话。

我打给杰瑞，他的语音留言说他在度假，任何人有事的话打9J37找米歇尔。这些信息太有用了。我挂了电话接着打给米歇尔，她接起电话，我说：“我是比尔，杰瑞要我把说明书打给你，让组里的人看看。现在，到了整个布局的攻坚点了。我问：“你们用哪个系统？”

“RM22，还有GM16。”

我从她那里得到了信息，没有引起她的怀疑。接下来，为了麻痹她，我的语气自然，“杰瑞说你可以给我一个研发组成员的电子邮件列表。”“当然，表太长了，不便阅读，发邮件给你”

坏了！一个不是GeminiMed.com的邮箱都会带来麻烦。“你能发传真给我么？”

她顺利的应允了。

“传真机坏了，我问问另一台的号码，一会打给你。”我挂了电话。我打电话对接线员说：“嗨，我是比尔，我们的传真机坏了，可以往你那里发一个传真么？”她说没问题。

过了一会儿，我打回电话。我说，“我还得把它发给我们的顾问，能帮我发么？”她把传真发给“顾问”的时候，我正迈步走向我附近的一家店。我拥有了那个小组的成员名单和邮件列表。现在我已经跟许多不同的人谈过话，并往目标迈了一大步，继续搞从外部拨人工程服努器的电话号码。

我再次打到双星，能找一个人给予我帮助。他把电话转给别人，我装作对计算机技术一窍不通。“我在家里，我vl买了一个笔记本，需要设置一下，以便能从外面拨入服务器。”

设置很简单，但我耐心地让他一步一步地教我，直到拨入电话号码。他告诉我那个号码，就像说出其它的一些日常信息。然后，我让他等我试一下。

拨号进入，偶然发现一台计算机上的来宾账号口令为空。于是我获得了加密口令。

一个叫斯蒂文的工程师，拥有一个口令为“Janice”的账号。可是不是服务器的口令。我得用些技巧来让这个人自己告诉我他的用户名和密码。我一宣等到周末。后面的事情，你们已经知道了。周六，我打电话给克莱默，用服务器必须从备份中恢复的理由打消他的怀疑。也许有人要问，他填写雇用登记表时的口令是怎么一回事？我指望他不会记着所有的事，谁还会记得自己几年前的密码。而且，那份名单上还有其他人能尝试。我找到了需要的文件。

对故事的分折

入侵者是一个熟备社会工程学的人，我们不得不承认他的技术。他的大部分工作如探囊取物般简单。先是假扮收发室的工作人员，声称收到一封联邦快递包裹来增加紧迫感，这样他得到了心脏支架研发组组长的名字，这位组长正在渡假，酉他却留下了助手的名字和电话。克雷格打给这位助手，谎称项目组长的要求来打消她的怀疑。组长不在城里，米歇尔在无法证实他所言属实的情况下，相信了，并把项目组成员名单毫无保留地提供给他。当克雷格让他发传真而不是使用令双方都方便的电子邮件时，她甚至都没有怀疑。为什么她如此轻易的相信他人？如同许多工作人员那样，这个人所做的事是她的上司交待要做的。

这些也是社工必备的技能，入侵者利用这些技能，经过紧密的处理，取得了重大的成绩，不得不为之称赞。

无可避免的，社会工程学被人用来诈骗。本质却是为了入侵。有朋友说，黑客技术本身就是骗术，但骗的却是计算机，是系统。

社会工程学将黑客技术进行到最大化，不仅利用系统弱点进行入侵，还能通过人性的弱点进行入侵，当这两种技术融为一体时，将根本不可能有安全的系统存在，技术高超的社会工程师最终会击溃所有的安全防线！

本文由掘安技术小组研究室综合网络整理，图片来源于网络；转载请注明”转自掘安技术小组研究室“，并附上链接。

维权通道（客服中心）：

投稿| ※沉默※

照片| ※沉默※

责编| ※许心痕※

编辑| ※许心痕※

审核| ※沉默※