最容易中招的黑客攻擊

當我們談論黑客攻擊時，尤其是在如今這個時代，我們經常能夠從媒體那里聽到黑客是如何入侵數據庫并竊取信息等等相關的新聞消息，我們總是喜歡談論這些故事。有關黑客以及黑客技術的報道，總是環繞在我們耳邊。比如Stuxnet蠕蟲和Flame、攻擊系統的惡意代碼、信息丟失和宕機故障等等。但是在這些社會報道中很少能聽到關于社會工程學這類的攻擊事件，但社會工程學在黑客攻擊當中卻起到了巨大的作用。在這篇文章中，我們將著眼于社會工程學攻擊，其操作形式比較簡單，而且一般人都可以預防這種類型的攻擊。

借由世界著名黑客Kevin M itnick在他的著作“網線里的幽靈”的內容，我們可以了解到社會工程學，全書都貫穿著M itnick先生是如何利用社會工程學的。M itnick先生通過扮演不同的角色，給一些公司致電，并要求訪問他們的網絡，最后都能毫不費力地得到訪問權。甚至當他是個孩子時就問了公交車司機哪里能買到用于給公交換乘票檢票的打孔機。隨后，他買了一個那種打孔機，并在垃圾箱內發現了部分使用過的空白公交換乘票存根，然后免費到達了圣費爾南多谷，這是另一種形式的社會工程學。當M itnick先生還是個孩子被抓獲時，他就已經是個專業的社會工程師了。

在他的“網線里的幽靈”這本書中還說，即使到了今天，他仍然在執行一些社會工程學攻擊，當然，那些都是在合乎道德的情況下，與他自己的滲透測試公司一起完成的。Kevin M itnick還對我們提到：如今，社會工程學已經存在了一段時間了，你只需要想想周圍的環境，偵查你的目標，然后想出一個辦法來獲得信息。

人們說：“我不會遇上這種事的，它永遠不會發生在我身上。”然而可怕的是，技術越來越復雜，可能我們都來不及考慮，那些錢就沒了。例如，我從一位女士那里遇到過一個情況，有人打電話給Shelly，并謊稱為是她在巴西的孫子Ralph，他告訴她需要錢從監獄保釋。Shelly說那個聲音聽起來跟Ralph的一樣，所以她就取出了一些錢，準備將這些錢轉到他的賬戶上用于保釋。當她到達當地的雜貨店準備完成轉賬的時候，在交易前她被業務員阻止了，并被詢問了一些問題。碰巧的是，還有個別的客戶正在準備為她的愛人進行一個與Shelly類似的轉賬交易。Shelly簡直不敢相信，那個客戶接的電話內容與她的一模一樣。Shelly覺得非常心煩意亂，她打電話給她的兒子Ben，詢問Ralph在哪里，而得到的答案是“他正坐在我的旁邊。”。Shelly松了一口氣，但仍然無法相信她幾乎就要上當受騙了。

Shelly無疑是非常幸運的，因為在交易之前工作人員提出了質疑。這件事情的發生，讓她知道一旦接觸到這樣的電話，首先要與相關的人驗證這電話是否是真實的。她還可以回撥電話再次驗證一下，或是打電話給運營商，詢問這個號碼的來源。

另一個社會工程學案例是關于從一封電子郵件中收到的賬戶憑據，其來源(美國銀行)看起來是合法的。其內容稱國家電子郵件需要您為您的賬戶驗證憑據并要點擊鏈接，這個鏈接會把用戶帶到一個與他們有業務往來的銀行完全相同的網站。但是，如果仔細看，這并不是真正的銀行網站，只是極其相似。有些地方幾乎一樣，比如www.bankof america.com 實際上可能是 www.bank0famerica.com。兩個網址之間唯一區別就是第二個URL的零 (0)和原來網址中的‘of’。而現實情況是，人們并不會看URL，更不會發現其中的蹊蹺，好吧，我不會因為這個怪他們的。然而，他們不應該不去多想一想，他們應該嘗試給銀行機構或是個人打電話，以驗證他們是否真的需要通過郵件獲得這種信息。

在一些企業中，員工會被要求佩戴能表示身份的徽章證件，如果有封閉開發的機密信息，可能還需要個人身份識別碼(PIN)。在這種情況下，如果社會工程師知道有人在門后面，他們可以隨時等待具有訪問權限的人在使用他們的證件的時候說：“你好，我是Jane Doe。我和Sam Sm ith正在做生意，但是我今天忘帶我的證件了，能讓我通過一下嗎？就這一次。”我親眼所見，大多數人都會幫助他們，絕沒有第二個想法。他們甚至都不會跟隨Jane Doe到她想去的目的地，確保Sam Sm ith是知道Jane Doe，也不會驗證這到底是不是個錯誤。當然，如果在Jane Doe呆著的地方，沒有人質疑她，也不會有個聰明人讓她去約她的生意的。但是，如果是真的有證件而忘記帶的人會說：“我知道Sam Sm ith坐在哪，只要讓我找到他，他能告訴你我的身份。”這種情況下，我們都要三思而后行，當Sam Sm ith想知道誰在門口等他時，Jane Doe是絕對不會等在那的。

在M itnick先生書中另一個關于身份證件的例子是他在為一個公司做滲透測試時，他現在網上進行了一番搜索，然后找到了該公司的網站。M itnick復制了該公司的標志，并制作了一個非常逼真的身份證件偽裝成了一名員工。利用這個身份證件，M itnick跟一些休息中的吸煙員工打了招呼，并隨著最后一個吸煙者進入到大廈中，并出示了他的證件。檢查證件的人并沒有近距離仔細看他的證件，如果那個檢查人員近距離看了他的證件，相信M itnick先生是絕不可能進入大廈的。

社會工程師可以通過USB閃存這種很好的方式來獲得潛在的且有價值的信息。我曾經聽說過一個人想要獲得某個公司信息的事情。他假意剛剛離開，并且將USB閃存遺漏在其停車場附近。為什么呢？不可避免的，那個公司中幼稚的員工會撿起這個USB閃存，想知道里面有什么內容，這個是誰的USB閃存？因此，他們決定將其插到公司的電腦上看看。瞧!如果沒有H IDS和H IPS或防病毒檢測什么的，惡意代碼就這樣植入了。而且不僅僅只影響一臺電腦，還有可能會波及更多的人!這些受感染的電腦，他們就會有一個自己的網絡!如果在員工身上發生這種情況，他們應該將這些USB設備交給安保人員并報告發生了什么事情。

在社交媒體中永遠都會存在著社會工程，例如Facebook。人們非常喜愛Facebook，并且將自己的蹤跡弄到人人皆知的地步。“這周去媽媽家度周末!晚上見媽媽!”當他們要出城或是離開的時候，甚至不用問就被別人知道了。這是一個在房子周圍進行嗅探并且能夠嘗試侵入Facebook的大好機會。此外，另一件需要注意的事情則是，大多數人不會鎖定他們的賬戶，所以你可以仔細閱讀到他們朋友的朋友的朋友的信息等等，他們最終會確定一個目標。并且能夠從像谷歌這種搜索引擎中來搜索目標的情況，例如是不是某個公司的CEO (如果目標還沒有在Facebook中公布信息的話);找到他們的興趣愛好，就有可能竊取他們的身份。

人們可能會說沒有人會從那種情況下撈到錢的;從這個網站的內容中http://blog.uspystore.com/2012/01/12/seven-easy-steps-to-stealsomeones-identity/.你會知道這個事情是多么的簡單。這些內容不是說要告訴大家你正在這個周末 (或者是任何時候)離開小鎮;確定你的賬戶是處于鎖定狀態的，并且要保證只有你的朋友能夠看到你的帖子，因為同樣的原因，你還要告訴你的朋友們也要鎖定賬戶。還要考慮啟用另外一個安全因素 (在下拉箭菜單的賬戶設置中，左手邊的安全設置，這個菜單會顯示在屏幕中間。)是一個公共設備設置，這個設置會允許您在一個或多個電腦上進行登錄。一個黑客如果得到了你的證書信息，他們可能從任何地方得到你的賬戶等任何信息。如果用戶單擊下拉菜單中右邊的home和幫助，從中Facebook實際上已經提供了賬戶安全設置和隱私設置等有價值的信息。

前不久，有一個謀財的社會工程案例發生在我身上。我在Craigslist上出售物品，并且放上了圖片以供客人瀏覽。如果他們對什么有興趣，我會讓他們發郵件給我，然后我再告訴他們手機號碼。在我的物品上市2周后，我終于得到了一個反饋。有個人說他們對一個商品感興趣，所以我把電話告訴他們，并讓他們給我打電話討論并查看商品。得到他們的答復是有些事情受到了影響，如果你把商品郵寄給我(加州，大概是)，我一收到就給你錢。額，好吧，后來什么都沒發生。不，我是不會答應的，巧合的是再沒有其他人聯系我(這肯定是個意外)。

另一個潛在的社會工程案例來自于一個小鎮。我在一個酒店住了幾天，一天晚上我去了這個酒店的酒吧，這里有一種成年飲料。我用現金付了錢，并且把這個飲料喝了，回到了我的房間。后來當我從旅行中回來，我在申請報銷費用的時候，查看了一下酒店發票。發票中顯示了有一個來自于酒店酒吧的費用。我覺得很奇怪，遂打電話給酒店詢問是什么情況。幸運的是，他們告訴我是工作人員搞錯了，他們把別的房間顧客喝的酒水錯記在了我的房間上。與我同在一家酒店的同事為我解釋了是怎么一回事，說：“哦，是的。你要做的就是告訴他們你的房間號碼，然后他們將帳記錄在你的房間號碼上。”所以，如果是我在進行社會工程攻擊，那么我就可以看著別人進到哪個房間，記下房間號碼，然后就可以隨意點酒水，并記在別人的房間號碼上了。在酒保發現不妥的時候，我早已離開，誰還知道我到底是不是住在那個房間中呢。

一個具有聯網功能的社會工程學攻擊便是利用W ireshark之類的應用程序，監視一個人的無線網絡活動。觀察他們訪問的網站，在那些未加密的興趣和愛好信息中都能夠找到線索。通過垃圾郵件或者是通過電話聯系人可以給社會工程師足夠的信息，通過郵件繼續跟進目標。此外，目標計算機和網絡的入口也是另一種潛在的突破口。然而，一些加密的無線路由器和一個強效的密碼，可以保護路由器的管理訪問權限，那么社會工程師就會將目光轉移到另一個不受保護的無線網絡上了。

從書中了解到的最后一個社會工程案例是Ira W inkler寫的“間諜就在我們身邊”。W inkler先生和他的助手被核電廠所錄用，為了進行滲透測試。在這個項目中，W inkler先生和他的助手能夠從總部工廠的前臺獲得身份證件，然而卻沒有任何人核實他們是誰，或是誰在簽署文件，以及他們的工作證都無人問津。然后，他們來到裝置著核反應堆設施的場地，一進到核反應設施當中，W inkler先生的助手就連接到了內部網絡上，并利用服務器名稱下載了價值數十億美元的核信息，W inkler先生對于社會工程學又有了更進一步的了解……

總結

總之，社會工程師會有各種各樣的方法，包括偽裝成公司員工或是模仿別人說話。所有員工都應當參與保護公司資產的培訓，教育他們通過口誤、情感或是在某人想訪問或得到信息之前沒有時間檢查核實身份的時候該怎么辦。我們都是人，都會犯錯誤，尤其是現在，在我們這個生活在快節奏的世界當中。然而僅僅是多一個關懷和思考，若是在電話中總是處于被動，這肯定是不行的。“您想找Doe先生？我想請問您是哪位？能否留個號碼讓他給您回電話？”想必若是詢問了這些問題，那就足以防止社會工程師尋找不同的目標了。