网络安全入门学习：社会工程学
在電影《我是誰：沒有絕對安全的系統(tǒng)》中，主角本杰明充分利用自己高超的黑客技術(shù)，非法入侵國際安全系統(tǒng)，并在最后逃之夭夭。在電影中，有一句經(jīng)典的臺詞：
所有黑客手段中最有效的、最偉大的幻想藝術(shù)——社會工程學。
?
那么， 什么是社會工程學 ， 社會工程學攻擊有哪些方式 ， 我們平時如何去防范它呢
？本期網(wǎng)安知識系列科普就來帶大家深入淺出的了解一下， 關(guān)于社會工程學的那些事
什么是社會工程學
當前世界上的頭號黑客—凱文·米特尼克
，曾經(jīng)在他出版的《反欺騙的藝術(shù)》中曾提到，人為因素才是安全的軟肋。確實如此，很多企業(yè)、學校、公司在信息安全方面投入大量的資金，但最終導(dǎo)致數(shù)據(jù)泄露的原因，往往卻是放生在人本身上。
或許大家難以想象，對于黑客們來說，通過一個用戶名、一串數(shù)字、一段簡單的對話、抑或是一張照片，他們就可以通過這些簡單的線索，通過社工手段，加以篩選、整理后，就能把你的個人情況信息、家庭狀況、經(jīng)濟實力、婚姻現(xiàn)狀研究的一清二楚。
?
雖然這個可能是最不起眼，而且還是最麻煩的方法。但這是一種無需依托任何黑客軟件，更注重研究人性弱點的黑客手法正在興起，這，便是社會工程學黑客技術(shù)。
為什么攻擊者會選擇社會工程學進行攻擊行為？
因為它是最便捷的攻擊方式。
攻擊者在搞定一個極其復(fù)雜的內(nèi)網(wǎng)環(huán)境或者高度防御系統(tǒng)的時候，僅憑外網(wǎng)是很難找到突破口，外網(wǎng)的安全是相對安全的。
但是，通過社工拿到一個泄露的賬戶和密碼或者一個email來定位實施單一攻擊（類似APT的水坑攻擊）,只要有機會接觸到內(nèi)網(wǎng)，那么通過一些工具直接打穿內(nèi)網(wǎng)，外網(wǎng)代理進內(nèi)網(wǎng)，那么就會有更多的數(shù)據(jù)被泄露、被販賣，形成一種惡性循環(huán)。
信任是一切安全的基礎(chǔ)，對于保護與審核的信任，通常被認為是整個安全鏈中最重要的一環(huán)，因為人才是所有安全措施的最終實施者。而信息安全的本質(zhì)就是信息擁有者和攻擊者之間的較量，所以信息擁有者是社會工程學攻擊的主要目標，也是無法忽視的脆弱點。
以下例子均為實際工作過程中發(fā)現(xiàn)，內(nèi)容較為敏感，相關(guān)信息已聯(lián)系有關(guān)部門。
文章圖片已進行馬賽克處理。
社會工程學攻擊
信息泄露
信息時代，使用各類手機軟件，登錄各種網(wǎng)站時大都需要用戶填寫手機號、性別、愛好等個人信息，否則供應(yīng)商將會拒絕提供服務(wù)。然而在我們享受服務(wù)時，卻忽視了個人信息泄露所帶來的安全問題。
信息泄露：Google語法查詢
先問大家一句， 大家覺得對自己的個人信息保護怎么樣，是否存在隱私泄露呢？
思考幾秒，然后我們往后看。
?
眾所周知，Google公司擁有著全球最大的搜索引擎—谷歌搜索引擎，可以說是幾乎囊括了人類智慧的結(jié)晶。由于知識繁多復(fù)雜，為了方便查詢，Google便推出了Google語法。通過互聯(lián)網(wǎng)收集數(shù)據(jù)，抓取有意義的信息，將其存儲在數(shù)據(jù)中心。任意一次搜索，在不到一秒鐘的時間里，它就會為你提供多個答案。
那么，Google語法和信息泄露有什么關(guān)系呢？別急，給大家看看張截圖：
?
這張截圖是我們運用 Google語法查詢 中返回的表格數(shù)據(jù)，可以看到上面有很多內(nèi)容，比如 姓名 、 電話 、 郵箱 、
學號 、 單位 、 畢業(yè)學校 ，甚至還有 出生日期 等敏感信息，而根據(jù)返回結(jié)果來看，
56300條結(jié)果，用時0.23秒 ，便可得知這樣的信息公布在公網(wǎng)上被泄露的數(shù)量并不在少數(shù)，并且獲取方式極其的簡單。
獲取到了姓名、電話、出生日期和學號等這些重要信息，我非常相信用生日或者包含生日作為密碼的同學并不在少數(shù)，那么接下來黑客就有可能根據(jù)這些信息頻繁登錄大家的社交、金融或是學校內(nèi)網(wǎng)賬號，來實現(xiàn)進一步的利用，造成更為嚴重的損失。
信息泄露：信息販賣
大家的家中是不是經(jīng)常遇到下面這些情況：
新車手續(xù)還沒辦齊全，推銷保險的就來了；新房鑰匙剛拿到手，裝修公司的電話就到了；在網(wǎng)上買好機票不到一個小時，就有航班延誤、航班取消的詐騙電話如期而至；剛注冊好公司，百度推廣的電話一個接一個；甚至一個知道你各種信息的“警察”打電話來，說你涉嫌洗錢了……各種各樣的推銷廣告、不勝其煩的騷擾電話和層出不窮的詐騙方式，讓人防不勝防。
如果有遇到這些情況，那么很抱歉，你的信息已經(jīng)被泄露給了無關(guān)人員。
而在這背后是海量的個人信息遭遇泄露，每天每時每刻都在發(fā)生！！！
?
個人信息泄露源頭中，有電信公司人員，也有快遞公司、銀行、醫(yī)院、學校、工商局等部門工作人員；更有正規(guī)或不正規(guī)的公司，收集了大量的用戶信息，比如目前絕大多數(shù)的互聯(lián)網(wǎng)公司注冊帳號都需要手機號。
商業(yè)銀行 未經(jīng)客戶授權(quán)
，不得將客戶相關(guān)信息用于本行信用卡業(yè)務(wù)以外的其他用途。而在調(diào)查中發(fā)現(xiàn)，種種規(guī)定屢成**“一紙空文”**，導(dǎo)致大量客戶信息被泄露：
銀行“內(nèi)鬼”倒賣知情人士 介紹，每條個人信息被提交給銀行后，要經(jīng)過支行、分行、信用卡中心等多個環(huán)節(jié)，經(jīng)手人員眾多。
而對于一些“新鮮的信息”，通常以一條兩毛，或者一毛的價格賣給有需要的客戶，所謂**“新鮮信息”
是手機用戶的信息首次被獲取到，還不曾被騷擾。近期，內(nèi)蒙古警察破獲一起信息詐騙案，犯罪團伙在網(wǎng)上購買個人信息，或者通過自身竊取個人信息之后，專門對病人實施詐騙，在警方查獲的犯罪嫌疑人的硬盤中竟保存著
80G**的個人信息！
而這些信息，落入到黑客手里就是如獲至寶。只要多獲得一個用戶的數(shù)據(jù)，那么進入某相關(guān)內(nèi)網(wǎng)的可能性就多了一分；即使不選擇進入內(nèi)網(wǎng)，這些數(shù)據(jù)放在暗網(wǎng)上，可都是詐騙團伙、販毒團伙等犯罪組織眼里的香餑餑，也是能賣一個不錯的價格。
河南省某次信息泄露案件中發(fā)布在暗網(wǎng)上的極少一部分數(shù)據(jù)，包含SFZ號、姓名、家庭住址、年齡等敏感數(shù)據(jù)。
?
信息泄露：情報分析
?
當黑客確定目標后，準備收集大家的信息，就會開始計劃以下事項：
我們需要針對什么 我們的目標是什么 我們什么時候去收集而情報信息搜集由五個部分組成：
規(guī)劃和指導(dǎo) 搜集 處理和利用 分析報告 傳播與整合接下來，為了方便大家的思考，我用兩個圖片案例進行詳細描述。
社工分析
這里有一張圖片，大家看一下，能聯(lián)想到什么呢？或者能通過這張圖片能分析出拍攝者的信息嗎？
?
如果大家覺得信息不夠的話，那么再來一點，給大家再加一段對話如何？
?
怎么樣？結(jié)果如何？大家能想到這位拍攝者的家庭地址嗎？
如果沒想到，沒關(guān)系，接下來帶著大家抽絲剝繭，復(fù)原分析。
經(jīng)過對比發(fā)現(xiàn)，相似度極高！
那么讓我們來看下西安市地鐵
?
根據(jù)我們得到的信息，距離大雁塔站7站的始發(fā)站有兩個，分別是 2號線的韋曲南 和 3號線的魚化寨
。但是主角在地鐵過程中要進行中轉(zhuǎn)，所以我們可以鎖定 主角是從韋曲南站 出發(fā)的。
那么我們就能采用畫圓取交點的方法，搜索附近小區(qū)。其中檢測到蘭喬國際城符合要求（距離韋曲南站點930米，距離航天城站點1.4km。）
?
這便是一個照片信息提取與利用的經(jīng)典案例。試想一下，如果日常生活中，有人利用大家在朋友圈、微博等社交媒體發(fā)布的照片，進行圖像分析，在監(jiān)視你的一舉一動，會是多么可怕的一件事情。
Exif信息
可交換圖像文件格式 （英語：Exchangeable image file format，官方簡稱 Exif
），是專門為數(shù)碼相機的照片設(shè)定的文件格式，可以記錄數(shù)碼照片的屬性信息和拍攝數(shù)據(jù)。
Exif可以附加于JPEG、TIFF、RIFF等文件之中，為其增加有關(guān)數(shù)碼相機拍攝信息的內(nèi)容和索引圖或圖像處理軟件的版本信息。如：拍照方向、相機設(shè)備型號、拍攝時間、ISO
感光度、GPS 地理位置等數(shù)據(jù)。
下面就是一張圖片的Exif信息
?
那么此時，你的位置，你的手機型號，當?shù)貢r間都會被記錄下來。如果被不法分子利用，分析成針對你的路線軌跡圖，那么接下來對你進行相關(guān)詐騙成功的可能性會更高。
為什么他人知道我的軌跡后詐騙成功性更高？
因為在交流中，信息是從一個實體傳送到另一個實體的過程，是一個雙向的過程，而在這個過程時刻發(fā)生著信息的交換、傳播以及處理。溝通是我們把別人帶到思維空間，分享個人的信息，所有的參與者都必須有一種彼此的心理位置概念，他們中間存在一個可溝通的渠道。
那么此時，試想以下，對方掌握了你的行動軌跡，便和你有了相似的參與感，溝通的渠道更加的牢固，而再設(shè)計一種針對于你的詐騙話術(shù)腳本誘騙上鉤，也變得更加輕松。
信息刺探
?
黑客在入侵內(nèi)網(wǎng)前，通常都會對目標進行一次較為全面的檢測，所謂不打沒有把握的仗，入侵前的信息刺探很重要，通過對目標主機的檢測，我們可以知道對方主機操作系統(tǒng)類型，開放了哪些網(wǎng)絡(luò)服務(wù)，是否存在漏洞等信息。將搜集到的信息整理起來將會對后面的入侵工作起到事半功倍的效果。
同樣，針對不同的人，黑客需要在接觸前還要進行一個信息刺探，以便生成被攻擊者的行為畫像。
通過QQ號獲取信息，包括用戶真實姓名、昵稱。通過QQ空間獲取照片、行為特征、好友。
通過手機號找出QQ號，騰訊QQ提供了匹配通訊錄的功能，這一功能本意是想方便添加通訊錄里的好友，但由于手機號匹配之后還是會顯示部分信息，因此在無意之中，自身某些信息便被神不知鬼不覺的透漏了。
?
大家之中有很多人的朋友圈、QQ空間、微博等內(nèi)容并不會對無關(guān)人員進行設(shè)置限制訪問，那么自身性格畫像就會隨意暴露給外面，進而讓許多犯罪分子有了可乘之機。
?
釣魚攻擊
網(wǎng)絡(luò)釣魚（Phishing，與釣魚的英語fishing發(fā)音相近，又名釣魚法或釣魚式攻擊）是通過大量發(fā)送聲稱來自于銀行或其他知名機構(gòu)的欺騙性內(nèi)容，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號ID
、 ATM PIN 碼或信用card詳細信息）的一種攻擊方式。
?
攻擊者利用欺騙性的電子郵件和偽造的 Web
站點來進行網(wǎng)絡(luò)詐騙活動，受騙者往往會泄露自己的私人資料，如信用card號、銀行card賬戶、身份ID號等內(nèi)容。詐騙者通常會將自己偽裝成網(wǎng)絡(luò)銀行、在線零售商和信用card公司等可信的品牌，騙取用戶的私人信息。
常見的釣魚攻擊主要分為兩類：1.電子郵件釣魚。2.語音釣魚
釣魚郵件
釣魚由按部就班的環(huán)節(jié)，同樣，電子郵件釣魚也有相應(yīng)的步驟與計劃進行實施
- 看天
根據(jù)不同國家或地區(qū)，看看當前國情和時事，發(fā)現(xiàn)哪些目標和人群適合釣魚攻擊，進行定點釣魚。
- 選竿
選擇特定的目標人群。
- 做餌
制作具有誘惑性的文件、圖片（隱寫術(shù)）、木馬、執(zhí)行文件等等釣魚工具（免殺）。
- 上大魚
最后剩下的就是等待一條有緣的魚上鉤咯。
而在釣魚攻擊前，攻擊者通過前期簡單的信息搜集構(gòu)造出以假亂真的釣魚頁面、信息，誘導(dǎo)被攻擊者自己主動交出相應(yīng)的權(quán)限或是財產(chǎn)等。我們常說的電信詐騙實際上就是屬于這一類攻擊。
這里簡單介紹兩種網(wǎng)站鏈接方面的內(nèi)容：
短鏈接
? 我們可以觀察鏈接域名，很多時候攻擊者會將域名套上一層短鏈接解析來實現(xiàn)偽裝，比如 sina.lt 網(wǎng)站，
?
惡意網(wǎng)站通常會有很長的 URL，因為網(wǎng)站搭建過程中各種參數(shù)的需要較多、網(wǎng)站簡陋
進行的優(yōu)化又較少，域名通常會選取廉價域名，較為容易識別，但是在轉(zhuǎn)成短連接后，惡意 URL 就精簡為了如下短鏈接
?
? 如果看到部分鏈接的格式或域名可疑，疑似短鏈接，切記不要輕易點擊與信任！
“同形異義詞”攻擊
這里有三個看起來差不多的字符 ：ａ、a、α ，但是第一個是西里爾文的 ａ，第二個是英文里的 a、第三個是俄文里的 α （數(shù)學題里的阿爾法）
雖然看起來都是 A，但計算機顯然把它們當成不同的字符來對待。
域名作為網(wǎng)站的名稱當然不會只有英文，各種語言都可以在域名中使用自己的語言，但是這其中也藏著安全問題，比如這里的
https://www.арр?е.com/與 https://www.apple.com
?
上圖正是兩個網(wǎng)址在瀏覽器中的效果圖，效果所差無幾，但是確實截然不同的，試想如果前者做成了假的蘋果官網(wǎng)，你會不會有可能就這樣付款了呢？
在這種問題上，黑客的靈活思路是層出不窮的，我們能夠做到的就是繃緊心中的那根弦，無時無刻保持警惕！
語音釣魚
?
Vishing (voice phishing，語音釣魚) 是一種新出現(xiàn)的智能攻擊形式，其攻擊目的就是試圖誘騙受害者泄漏個人敏感信息。
語音釣魚是網(wǎng)絡(luò)釣魚的電話版，試圖通過語音誘騙的手段，獲取受害者的個人信息。雖然這聽起來像是一種過時的騙局套路，但在其中卻加入了高科技元素：例如，它們涉及
自動語音模擬技術(shù) ，或者詐騙者可能會使用從較早的網(wǎng)絡(luò)攻擊中獲得的有關(guān)受害者的個人信息。
隨著AI的普及，語音釣魚的頻率也會越來越多。2019年，一家英國能源公司就遭遇了新型詐騙——AI合成的“語音釣魚”。該能源公司主管以為接到德國總公司CEO來電，因為對方操著一口地道的德國口音，語調(diào)也跟他熟悉的德國總公司CEO幾乎一模一樣，于是就把款項轉(zhuǎn)了過去，被詐騙了22萬歐元。
據(jù)統(tǒng)計，75%的詐騙受害者報告說，攻擊者在詐騙開始前就已經(jīng)掌握了一些有關(guān)他們的個人信息。
由此可見，語音釣魚攻擊，與本文前面提到的信息泄露緊密結(jié)合起來，兩者相互搭配，進而使對方的騙局顯的更為可信，誘導(dǎo)受害人上鉤。
而且，相對于傳統(tǒng)的詐騙電話，語音釣魚詐騙可以 避開所有的安全防護手段
，因為該攻擊直接利用了受害者的防騙意識。語音釣魚很輕易就能裝得既真實又具說服力，因此能騙得用戶的信賴，讓他們上當。而融合了先進的 AI技術(shù)
后，讓接聽者誤以為打電話的是熟人或者是上司本人，因此會大大降低用戶的防騙意識。
那么該如何防范社會工程學攻擊呢？
?
最為重要的一點，便是**自身要加強個人信息安全保護意識，**不要輕易將個人信息提供給無關(guān)人員；
其次，在網(wǎng)站填寫個人注冊信息，注意網(wǎng)站是否有用戶隱私保護制度。如果沒有，謹慎填寫。即使有隱私制度，如果沒有特殊需要，最好只填寫最少必須信息；
第三，陌生人的問卷調(diào)查，對方要求留下姓名、電話、職業(yè)、工作單位等信息，這些情況最好謹慎填寫；
第四，在手機維修點，顧客應(yīng)監(jiān)督工作人員刪除送修手機內(nèi)的電話號碼、郵件等個人信息；
第五，個人的電子郵箱、網(wǎng)絡(luò)支付及銀行卡等密碼要有差異；增加密碼難度，在這里并不建議密碼中含有生日這種易于獲取的信息；
第六，妥善處置快遞單、車票、購物小票等包含個人信息的單據(jù)，切勿隨意丟棄。
而對于終結(jié)當前社會中的
“信息黑市”亂象則需多方面協(xié)同，而作為社會大眾的我們，更應(yīng)加強對該類問題的監(jiān)督責任，一旦發(fā)現(xiàn)該類問題，應(yīng)積極主動向相關(guān)部門舉報。以全社會各界人士的共同行動，為“信息安全”保駕護航！
第三，陌生人的問卷調(diào)查，對方要求留下姓名、電話、職業(yè)、工作單位等信息，這些情況最好謹慎填寫；
第四，在手機維修點，顧客應(yīng)監(jiān)督工作人員刪除送修手機內(nèi)的電話號碼、郵件等個人信息；
第五，個人的電子郵箱、網(wǎng)絡(luò)支付及銀行卡等密碼要有差異；增加密碼難度，在這里并不建議密碼中含有生日這種易于獲取的信息；
第六，妥善處置快遞單、車票、購物小票等包含個人信息的單據(jù)，切勿隨意丟棄。
而對于終結(jié)當前社會中的
“信息黑市”亂象則需多方面協(xié)同，而作為社會大眾的我們，更應(yīng)加強對該類問題的監(jiān)督責任，一旦發(fā)現(xiàn)該類問題，應(yīng)積極主動向相關(guān)部門舉報。以全社會各界人士的共同行動，為“信息安全”保駕護航！
最后
分享一個快速學習【網(wǎng)絡(luò)安全】的方法，「也許是」最全面的學習方法：
1、網(wǎng)絡(luò)安全理論知識（2天）
①了解行業(yè)相關(guān)背景，前景，確定發(fā)展方向。
②學習網(wǎng)絡(luò)安全相關(guān)法律法規(guī)。
③網(wǎng)絡(luò)安全運營的概念。
④等保簡介、等保規(guī)定、流程和規(guī)范。（非常重要）
2、滲透測試基礎(chǔ)（一周）
①滲透測試的流程、分類、標準
②信息收集技術(shù)：主動/被動信息搜集、Nmap工具、Google Hacking
③漏洞掃描、漏洞利用、原理，利用方法、工具（MSF）、繞過IDS和反病毒偵察
④主機攻防演練：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系統(tǒng)基礎(chǔ)（一周）
①Windows系統(tǒng)常見功能和命令
②Kali Linux系統(tǒng)常見功能和命令
③操作系統(tǒng)安全（系統(tǒng)入侵排查/系統(tǒng)加固基礎(chǔ)）
4、計算機網(wǎng)絡(luò)基礎(chǔ)（一周）
①計算機網(wǎng)絡(luò)基礎(chǔ)、協(xié)議和架構(gòu)
②網(wǎng)絡(luò)通信原理、OSI模型、數(shù)據(jù)轉(zhuǎn)發(fā)流程
③常見協(xié)議解析（HTTP、TCP/IP、ARP等）
④網(wǎng)絡(luò)攻擊技術(shù)與網(wǎng)絡(luò)安全防御技術(shù)
⑤Web漏洞原理與防御：主動/被動攻擊、DDOS攻擊、CVE漏洞復(fù)現(xiàn)
5、數(shù)據(jù)庫基礎(chǔ)操作（2天）
①數(shù)據(jù)庫基礎(chǔ)
②SQL語言基礎(chǔ)
③數(shù)據(jù)庫安全加固
6、Web滲透（1周）
①HTML、CSS和JavaScript簡介
②OWASP Top10
③Web漏洞掃描工具
④Web滲透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏掃等）
恭喜你，如果學到這里，你基本可以從事一份網(wǎng)絡(luò)安全相關(guān)的工作，比如滲透測試、Web 滲透、安全服務(wù)、安全分析等崗位；如果等保模塊學的好，還可以從事等保工程師。薪資區(qū)間6k-15k。
到此為止，大概1個月的時間。你已經(jīng)成為了一名“腳本小子”。那么你還想往下探索嗎？
想要入坑黑客&網(wǎng)絡(luò)安全的朋友，給大家準備了一份：282G全網(wǎng)最全的網(wǎng)絡(luò)安全資料包免費領(lǐng)取！
掃下方二維碼，免費領(lǐng)取
有了這些基礎(chǔ)，如果你要深入學習，可以參考下方這個超詳細學習路線圖，按照這個路線學習，完全夠支撐你成為一名優(yōu)秀的中高級網(wǎng)絡(luò)安全工程師：
高清學習路線圖或XMIND文件（點擊下載原文件）
還有一些學習中收集的視頻、文檔資源，有需要的可以自取：
每個成長路線對應(yīng)板塊的配套視頻：
當然除了有配套的視頻，同時也為大家整理了各種文檔和書籍資料&工具，并且已經(jīng)幫大家分好類了。
因篇幅有限，僅展示部分資料，需要的可以【掃下方二維碼免費領(lǐng)取】
總結(jié)
以上是生活随笔為你收集整理的网络安全入门学习：社会工程学的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 2009年中国综合布线市场的增长
- 下一篇： 计算机频谱仪仿真,频谱分析仪模拟仿真.d