社會工程學(xué)（Social Engineering）是一種通過對受害者心理弱點(diǎn)、本能反應(yīng)、好奇心、信任、貪 婪等心理陷阱進(jìn)行諸如欺騙、傷害等危害手段。社會工程學(xué)攻擊在近年來的一些網(wǎng)絡(luò)入侵事件中起到了很大的作用，對企業(yè)信息安全有很大的威脅性。下面轉(zhuǎn)載來一 篇比較不錯的文章，方便各位網(wǎng)絡(luò)信息安全愛好者了解社會工程學(xué)。
注: 節(jié)選之上海市公安局網(wǎng)絡(luò)安全顧問彭一楠 06年寫的一個PPT,PPT中談到一些黑客思維跟金鋼經(jīng)典故中闡述的觀點(diǎn)出奇的相似,用唯物辯證法聯(lián)系觀來說就是事物的普遍聯(lián)系性 。
Part:A 經(jīng)典技術(shù)
一． 直接索取 (Direct Approach) — 直接向目標(biāo)人員索取所需信息
二． 個人冒充
1. 重要人物冒充 — 假裝是部門的高級主管，要求工作人員提供所需信息
2. 求助職員冒充 — 假裝是需要幫助的職員，請求工作人員幫助解決網(wǎng)絡(luò)問題，借以獲得所需信息
3. 技術(shù)支持冒充 — 假裝是正在處理網(wǎng)絡(luò)問題的技術(shù)支持人員，要求獲得所需信息以解決問題
三． 反向社會工程 (Reverse Social Engineering)
定義： 迫使目標(biāo)人員反過來向攻擊者求助的手段
步驟： 破壞 (Sabotage) — 對目標(biāo)系統(tǒng)獲得簡單權(quán)限后，留下錯誤信息，使用戶注意到信息，并嘗試獲得幫助
推銷 (Marketing) — 利用推銷確保用戶能夠向攻擊者求助，比如冒充是系統(tǒng)維護(hù)公司，或者在錯誤信息 里留下求助電話號碼
支持 (Support) — 攻擊者幫助用戶解決系統(tǒng)問題，在用戶不察覺的情況下，并進(jìn)一步獲得所需信息
四． 郵件利用
木馬植入：在欺騙性信件內(nèi)加入木馬或病毒
群發(fā)誘導(dǎo)：欺騙接收者將郵件群發(fā)給所有朋友和同事
Part:B — 新技術(shù)
一． 釣魚技術(shù) (Phishing) — 模仿合法站點(diǎn)的非法站點(diǎn)
目的： 截獲受害者輸入的個人信息（比如密碼）
技術(shù)： 利用欺騙性的電子郵件或者跨站攻擊誘導(dǎo)用戶前往偽裝站點(diǎn)
二． 域欺騙技術(shù) (Pharming)
定義： 域欺騙是釣魚技術(shù)加 DNS 緩沖區(qū)毒害技術(shù) (DNS caching poisoning)
步驟： 1. 攻擊 DNS 服務(wù)器，將合法 URL 解析成攻擊者偽造的 IP 地址
2. 在偽造 IP 地址上利用偽造站點(diǎn)獲得用戶輸入信息
三． 非交互式技術(shù)
目的： 不通過和目標(biāo)人員交互即可獲得所需信息
技術(shù)： 1. 利用合法手段獲得目標(biāo)人員信息：
eg. 垃圾搜尋 (dumpster diving) 、搜索引擎
Chicago Tribune 利用 google 獲得 2600 個 CIA 雇員個人信息，包括地址、電話號碼等
2. 利用非法手段在薄弱站點(diǎn)獲得安全站點(diǎn)的人員信息
eg. 論壇用戶挖掘、合作公司滲透
四． 多學(xué)科交叉技術(shù)：
1. 心理學(xué)技術(shù)：分析網(wǎng)管的心理以利用于獲得信息
a. 常見配置疏漏：明文密碼本地存儲、便于管理簡化登陸
b. 安全心理盲區(qū)：容易忽視本地和內(nèi)網(wǎng)安全、對安全技術(shù) ( 比如防火墻、入侵檢測系統(tǒng)、殺毒軟件等）盲目信任、信任過度傳遞
2. 組織行為學(xué)技術(shù)：分析目標(biāo)組織的常見行為模式，為社會工程提供解決方案。
渝公網(wǎng)安備 50024202000196號
域名注冊知識
虛擬主機(jī)知識
網(wǎng)站建設(shè)知識
網(wǎng)絡(luò)推廣知識
網(wǎng)絡(luò)營銷知識
常見技術(shù)問題
QQ空間
新浪微博
開心網(wǎng)
人人網(wǎng)