按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
件防火墙、入侵监测系统（IDS）、虚拟专用网络，或是安全软件产品，但这并不能保障安全。
社会工程学师只需拨打一个电话，使用专业的术语，报出内部人员使用的ID，让一个系统管理员登录系统，并将其传真过来即可窃取信息。事实上，很多安全行为就是出现在骗取内部人员（信息系统管理、使用、维护人员等）的信任上，从而轻松绕过所有技术上的保护。
信任是一切安全的基础，对于保护与审核的信任，通常被认为是整个安全链条中最薄弱的一环。为规避安全风险，技术专家精心设计的安全解决方案，却很少重视和解决最大的安全漏洞——人为因素。无论是在现实世界还是在虚拟的网络空间，任何一个可以访问系统的人，都有可能构成潜在的安全风险与威胁。
社会工程学较之其他黑客攻击复杂，即使自认为最警惕、最小心的人，一样会受到高明的社会工程学手段的损害。因为“社会工程学”主导着非传统信息安全，所以通过对它的研究可以提高应对非传统信息安全事件的能力。非传统信息安全是传统信息安全的延伸，主张信息安全防护采取“先发制人”的战略，突破传统信息安全在观念上的指导性被动，主动地分析人的心理弱点，提高人们对欺骗的警觉，同时改进技术体系和管理体制存在的不足，从而改变信息安全“头痛医头，脚痛医脚”的现状。
社会工程学无处不在，在商业交易谈判和司法等领域都存在。其实在生活中，我们也常常在无意中使用，只是浑然不觉而已。比如，当遇到问题时，会知道应该寻找有决定权的人来解决，并让周遭的人帮助解决。这其实也是社会工程学。社会工程学是一把双刃剑，既有好的一方面，也有坏的一方面。
1。1。3攻击信息拥有者
信息安全的本质是信息拥有者与攻击者间的战斗。信息拥有者是无价的信息宝藏，攻击者大可不必因为一个口令而把大量精力花费在系统入侵与破解上，直接针对拥有者的脆弱性开始进行攻击，可以避免一些不该发生的事，比如口令变、系统补丁升级等。
一般来说，经验丰富的黑客攻击者往往缺乏人际交往的知识经验与技巧，但社会工程学攻击会打破这种格局。大多数情况下，成功的社会工程师都有着很强的人际交往能力。他们有魅力、讲礼貌、讨人喜欢，并具有快速建立起可亲、可信感的特点。
一个经验丰富的社会工程师，使用他自己的战略、战术，几乎能够接近任何他感兴趣的信息。他们会开始用大量的时间研究非传统信息安全，庞大的商业价格是吸引他们的条件，这种有效的信息入侵对他们非常有诱惑性。
社会工程学攻击还有一个受黑客们欢迎的原因，那就是中国企业盲目追求商业利用最大化，他们不注重建立企业品牌，忽略对员工进行安全培训投资。比如，一个社会工程学使用者想从一间信用卡公司获取一些情报，但又没有相关的证明他可以合法的从这间公司拿到这些情报。那么，他就可以利用社会工程学，从和这间信用卡公司相关的银行收集相关的信息从而达到他的目的。例如，这间银行从信用卡公司取得信息需要什么文件或者ID号码证明，又或者是经常与信用卡公司进行业务联系的职员的姓名等，攻击者只要通过某些途径从这些毫无任何价值观念的企业内部员工的口中得到这些信息，即可成功窃取信息。而没有安全威胁意识的企业会在这个问题上栽一个大跟头。
因此，现阶段来说，信息拥有者是社会工程学攻击的主要目标，也是无法忽视的脆弱点，要防止攻击者从信息拥有者身上窃取信息，必须加强对他们进行安全培训投资。
1。1。4常见社会工程学手段
现代的网络纷繁复杂，病毒、木马、垃圾邮件接踵而至，给网络安全带来了很大的冲击。同时，利用社会工程学的攻击手段日趋成熟，其技术含量也越来越高。社会工程学攻击在实施之前必须掌握心理学、人际关系、行为学等知识与技能，以便收集和掌握实施入侵行为所需要的资料和信息。下面介绍几种常见的社会工程学手段。
1．环境渗透
对特定的环境进行渗透，是社会工程学为了获得所需的情报或敏感信息经常采用的手段之一。社会工程学攻击者通过观察目标对电子邮件的响应速度、重视程度以及可能提供的相关资料，比如一个人的姓名、生日、ID电话号码、管理员的IP地址、邮箱等，通过这些收集信息来判断目标的网络构架或系统密码的大致内容，从而获取情报。
2．引诱
网上冲浪经常碰到中奖、免费赠送等内容的邮件或网页，诱惑用户进入该页面运行下载程序，或要求填写账户和口令以便“验证”身份，利用人们疏于防范的心理引诱用户，这通常是黑客早已设好的圈套。
3．伪装
目前流行的网络钓鱼事件以及更早以前的求职信病毒、圣诞节贺卡，都是利用电子邮件和伪造的Web站点来进行诈骗活动的。有调查显示，在所有接触诈骗信息的用户中，有高达5％的人都会对这些骗局做出响应。
4．说服
说服是对信息安全危害较大的一种社会工程学攻击方法，它要求目标内部人员与攻击者达成某种一致，为攻击提供各种便利条件。个人的说服力是一种使某人配合或顺从攻击者意图的有力手段，特别地，当目标的利益与攻击者的利益没有冲突，甚至与攻击者的利益一致时，这种手段就会非常有效。如果目标内部人员已经心存不满甚至有了报复的念头，那么配和就很容易达成，他甚至会成为攻击者的助手，帮助攻击者获得意想不到的情报或数据。
攻击者在施行攻击时，经常会采用维修人员、技术支持人员、经理、可信的第三方人员，或者是企业同事等角色，这点在一个大公司是不难实现的。
因为每人不可能都认识公司中的每个人员而身份标识是可以伪造的，这些角色中的大多数都具有一定的权利，让别人会不由自主的去巴结。大多数的雇员都想讨好老板，所以他们会点头哈腰的对那些有权利的人提供他们所需要的信息。
5．恐吓
社会工程学师常常利用人们对安全、漏洞、病毒、木马、黑客等内容的敏感性，以权威机构的身份出现，散布安全警告、系统风险之类的信息，使用危言耸听的伎俩恐吓欺骗计算机用户，并声称如果不按照他们的要求去做，会造成非常严重的危害或损失。
6．恭维
高明的黑客精通心理学、人际关系学、行为学等社会工程学方面的知识与技能，善于利用人类的本能反应、好奇心、盲目信任、贪婪等人性弱点设置陷阱，实施欺骗，控制他人意志为己服务。他们通常十分友善，很讲究说话的艺术，知道如何借助机会均等去迎合人，投其所好，使多数人会友善地做出回应，乐意与他们继续合作。
7．反向社会工程学
反向社会工程学是指攻击者通过技术或者非技术的手段给网络或者计算机应用制造“问题”，使其公司员工深信，诱使工作人员或网络管理人员透露或者泄漏攻击者需要获取的信息。这种方法比较隐蔽，很难发现，危害特别大，不容易防范。
第二章 生活中的社会工程学攻击案例
社会工程学作为信息时代发展出来的一门“欺骗的艺术”，在现今不论是虚拟的网络空间还是现实的日常生活场景，凡是涉及信息安全的方面，无不有社会工程学的应用。
本节将介绍几种生活中常见的有关社会工程学攻击的安全，希望大家能够进一步地了解社会工程学，并提高警惕。
1。2。1巧妙地获取用户的手机号码
社会工程学就是一种与计算机技术相结合的行骗过程，而社会工程学的实施者，则可以看作是一个精通计算机的超级骗子。
下面通过一个虚拟的例子，说明如何通过社会工程学获取用户的手机号码。
假设攻击者试图入侵某个公司的内部办公系统，但无法破解管理员的登录密码。可先利用一些手段获得管理员的手机号，再想办法得到管理员的登录密码即可。
首先，打开公司的网站，在网站首页的左上角有一个“内部办公系统登录”链接，在该链接下有一个快速登录口，在“登录名”和“密码”文本框中输入相应的内容，即可进入该公司的内部办公系统。
或者直接单击“内部办公系统登录”链接，在打开的“内部办公系统”页面中可直接登录进入公司的内部办公系统。�