雷鋒網(wǎng)按：社會(huì)工程學(xué)是每個(gè)黑客必備的技能，同時(shí)也是對(duì)一個(gè)黑客演技的考驗(yàn)。“社工”溜不溜，全憑演技和隨機(jī)應(yīng)變。下面說(shuō)一說(shuō)這門關(guān)于欺騙的藝術(shù)。本文來(lái)源MottoIN（mottoin），雷鋒網(wǎng)宅客頻道（letshome）經(jīng)授權(quán)修改轉(zhuǎn)載。

何為社會(huì)工程學(xué)

所謂的社會(huì)工程學(xué)，是指利用人類心理學(xué)完成獲得建筑物、系統(tǒng)和數(shù)據(jù)訪問權(quán)限的藝術(shù)，有別于使用黑客計(jì)入的入侵手段。例如，一名社會(huì)工程師可以偽裝成一個(gè)雇員或IT支持人員，試圖誘騙目標(biāo)以獲取對(duì)方的密碼，而不是去尋找一個(gè)軟件的漏洞。 社會(huì)工程師的目標(biāo)通常是獲得一個(gè)或多個(gè)目標(biāo)的信任。

著名黑客Kevin Mitnick在上世紀(jì)90年代就開始推廣社會(huì)工程學(xué)的概念，不過當(dāng)時(shí)的想法比較簡(jiǎn)單，即：欺騙某人做某事或泄露敏感信息。

目標(biāo)：飆起演技，信息到手

許多社會(huì)工程師的目標(biāo)是獲得個(gè)人信息，可能直接導(dǎo)致目標(biāo)的財(cái)產(chǎn)或身份被盜、或準(zhǔn)備向目標(biāo)發(fā)動(dòng)更有針對(duì)性的攻擊。社會(huì)工程師還會(huì)尋找各種方式去安裝惡意軟件，以便更好的訪問目標(biāo)的個(gè)人數(shù)據(jù)、計(jì)算機(jī)系統(tǒng)或賬號(hào)。另外，社會(huì)工程師也可能在尋找可以獲得競(jìng)爭(zhēng)優(yōu)勢(shì)的信息。

有價(jià)值的信息包括：

• 密碼

• 賬號(hào)

• 密鑰

• 任何個(gè)人信息

• 訪問卡河身份證件

• 電話名單

• 計(jì)算機(jī)系統(tǒng)的詳情

• 具有訪問權(quán)限的人的名單

• 服務(wù)器、網(wǎng)絡(luò)、非公網(wǎng)URL地址、內(nèi)部局域網(wǎng)等信息

玩社工要懂占卜，會(huì)演戲

利用社會(huì)工程學(xué)發(fā)起攻擊的方式多種多樣。詐騙者可能騙你給他開門、訪問一個(gè)釣魚網(wǎng)站、下載一個(gè)含有惡意代碼的文件、或者他可以利用你計(jì)算機(jī)上的一個(gè)USB接口獲得你公司網(wǎng)絡(luò)的訪問權(quán)限。典型的策略包括：

“玄學(xué)”猜密碼：黑客使用目標(biāo)的社會(huì)網(wǎng)絡(luò)畫像，猜測(cè)受害人的密碼或安全問題。

偽裝成熟人：這種情況下，黑客獲得個(gè)人或團(tuán)體的信任，讓他們點(diǎn)擊包含惡意軟件的鏈接或附件。

偽裝成社交網(wǎng)絡(luò)上的好友：這種情況下，黑客偽裝成一個(gè)你熟悉的網(wǎng)友在網(wǎng)上聯(lián)系你，請(qǐng)你幫忙從“辦公室”發(fā)送一個(gè)數(shù)據(jù)或向他傳送一個(gè)表格，“你要知道，你在電腦上看到的任何東西都可能是偽裝、虛假或修飾過的”。

冒充內(nèi)部員工：在很多案例中，詐騙者冒充IT支持人員或承包商來(lái)獲取信息，如從一個(gè)不知情的員工那里獲取到一個(gè)密碼。在我們提供“脆弱性評(píng)估”的客戶群體中，大約90%會(huì)被我們成功迷惑，會(huì)把我們看成同事。曾經(jīng)就有黑客通過偽裝成一個(gè)承包商，利用網(wǎng)絡(luò)釣魚方式成功的收集到了目標(biāo)公司的員工登錄憑證，最終入侵了整個(gè)企業(yè)的基礎(chǔ)設(shè)施。

根據(jù)Check Point 軟件有限公司的研究報(bào)告，社會(huì)工程學(xué)攻擊具有普遍性、頻繁性，組織成本開銷每年數(shù)千美元。調(diào)查對(duì)象是位于美國(guó)、加拿大、英國(guó)、德國(guó)、澳大利亞和新西蘭的850個(gè)IT和安全專業(yè)人員，其中大約48%都是社會(huì)工程學(xué)的受害者，他們稱在過去兩年時(shí)間里遭受過25次甚至更多的攻擊。該報(bào)告稱社會(huì)工程攻擊受害者在每次安全事件中的損失平均在25000美元～100000美元之間。

“社會(huì)工程攻擊的目標(biāo)一般是具有隱性知識(shí)或能夠獲取到敏感信息的人”。如今，黑客可以利用各種技術(shù)和社交網(wǎng)絡(luò)應(yīng)用程序收集個(gè)人和相關(guān)的專業(yè)信息，以尋找組織中最薄弱的環(huán)節(jié)。

86%的受訪者認(rèn)為社會(huì)工程學(xué)越來(lái)越受關(guān)注，這類攻擊的首要目的是獲得財(cái)務(wù)收益，其次是競(jìng)爭(zhēng)優(yōu)勢(shì)和打擊報(bào)復(fù)。最常見的攻擊方式是釣魚郵件，大約占據(jù)社會(huì)工程攻擊事件的47%，其次是社交網(wǎng)絡(luò)（占比39%）。

報(bào)告指出，新員工時(shí)最容易受到社工的，其次是承包商（44%）、行政助理（38%）、人力資源（33%）、企業(yè)領(lǐng)導(dǎo)人（32%）和IT人員（23%）。

社工大師都是心理大師

社會(huì)工程師為了獲得目標(biāo)的信任，常用四種基本的心理戰(zhàn)術(shù)。

（1）自信！自信！自信！

根據(jù)Brushwood的說(shuō)法，掩飾欺騙的第一步就是要表現(xiàn)出自信。例如，有人試圖進(jìn)入一個(gè)有安防的建筑物時(shí)，可能會(huì)偽造徽章，或者假裝成服務(wù)公司的員工。不想被攔截，關(guān)鍵是要簡(jiǎn)單的表現(xiàn)出你屬于這里、沒什么可隱藏的。用姿態(tài)語(yǔ)言傳達(dá)出自信讓別人放松?！鞍矙z人員通常不會(huì)查看徽章，他們會(huì)留意人的姿勢(shì)?！?/p>

另一種方式是通過交談獲得控制權(quán)，“一般情況下，提問問題的人會(huì)控制談話”。當(dāng)有人問你一個(gè)問題時(shí)，會(huì)立刻使你陷入困境，受迫于需要給予正確貨恰當(dāng)?shù)幕貞?yīng)，你會(huì)感覺到一種社會(huì)壓力。

（2）送個(gè)小禮物，做個(gè)好人 

報(bào)答是人類的一個(gè)天性，常常被社會(huì)工程師利用?！爱?dāng)人們接受了別人的東西，如贊美或禮物，即使他們討厭對(duì)方，也會(huì)覺得需要作出回報(bào)”。 適用場(chǎng)景包括向接待員或大門守衛(wèi)贈(zèng)送一盤餅干。

贈(zèng)送禮物和提出請(qǐng)求之間的時(shí)間延遲很重要，如果你前一秒剛送出禮物，后一秒就馬上開口請(qǐng)人幫忙，很可能會(huì)被認(rèn)為這是賄賂，這樣的話，對(duì)方會(huì)感到不舒服。相反，一個(gè)熟練的騙子可能會(huì)提前布局，比如早一天給門衛(wèi)禮物，然后第二天返回說(shuō)還有一個(gè)項(xiàng)目會(huì)議需要參加。

（3）把講段子當(dāng)成奧義之一

人們通常喜歡有幽默感的人，社會(huì)工程師深諳這一套，并且靈活的施展以獲取信息、通過門衛(wèi)的查崗，甚至借此擺脫困境。

Brushwood經(jīng)常用幽默來(lái)擺脫超速罰單，他的絕招是在牌照上展示一個(gè)有趣的圖片，“警察整天處理麻煩事，我的做法是讓他們笑”。

在一個(gè)違規(guī)或犯罪的情景下，社會(huì)工程師可能會(huì)嘗試和一個(gè)雇員聊天，以便獲取想要的信息。一個(gè)有趣的例子是IT電話欺詐，來(lái)電者要求員工說(shuō)出密碼信息，有趣的是，如果談話很幽默有趣，員工會(huì)放心的把敏感信息說(shuō)出去，也可能會(huì)主動(dòng)告知。

（4）給個(gè)理由，哪怕很荒謬

最近一項(xiàng)來(lái)自哈佛大學(xué)的研究發(fā)現(xiàn)，如果使用“因?yàn)椤边@個(gè)詞，聽眾很可能會(huì)屈服于請(qǐng)求。這項(xiàng)研究調(diào)查了在圖書館里等待使用打印機(jī)的一群人，當(dāng)一些人走進(jìn)并要求插隊(duì)時(shí)，觀察人們的反應(yīng)。

第一組中，這個(gè)人會(huì)說(shuō)：“對(duì)不起，我有幾頁(yè)文件，可以先用復(fù)印機(jī)嗎？因?yàn)槲亿s時(shí)間？”，在該組中，94%得到了允許。

第二組中，請(qǐng)求的說(shuō)詞是：“對(duì)不起，我有幾頁(yè)文件，可以先用復(fù)印機(jī)嗎？”，只有60%的人被允許。

第三組中，請(qǐng)求的說(shuō)詞是：“對(duì)不起，我有幾頁(yè)文件，可以先用復(fù)印機(jī)嗎？因?yàn)槲倚枰蛴　?，盡管理由荒謬，但依然有93%的通過率。

事實(shí)證明，“因?yàn)椤边@個(gè)詞是神奇的。

Brushwood指出，獲得人們的認(rèn)可，只需要感性的理由，即使理由是無(wú)稽之談。 

雷鋒網(wǎng)編輯認(rèn)為：再固若金湯的堡壘只要有人參與其中就定會(huì)有漏洞，因?yàn)槿祟悡碛凶晕乙庾R(shí)，而“社工”的攻克目標(biāo)正是人。

所以，想解決這個(gè)問題也許只有這兩種方法了：

1.不要和陌生人說(shuō)話

2.做一個(gè)快樂的機(jī)器人

-The End-

雷峰網(wǎng)版權(quán)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。