社會(huì)工程學(xué)攻擊

By:sinmen2012-11社會(huì)(shèhuì)工程學(xué)攻擊共三十四頁(yè)一、引言二、收集敏感信息(xìnxī)三、網(wǎng)絡(luò)釣魚式攻擊四、密碼心理學(xué)攻擊五、應(yīng)對(duì)社會(huì)工程學(xué)攻擊PAGE1社會(huì)工程學(xué)攻擊目錄共三十四頁(yè)在信息安全領(lǐng)域(lǐnɡyù)中的社會(huì)工程學(xué)PAGE2社會(huì)工程學(xué)攻擊引言通過(guò)心理弱點(diǎn)、本能反應(yīng)、好奇心、信任、貪婪等一些心理陷阱進(jìn)行的諸如欺騙、傷害(shānghài)、信息盜取、利益謀取等對(duì)社會(huì)及人類帶來(lái)危害的行為。世界頭號(hào)黑客凱文·米特尼克在其自傳《欺騙的藝術(shù)》一書中，對(duì)社會(huì)工程學(xué)在信息安全領(lǐng)域的應(yīng)用進(jìn)行了如下定義：社會(huì)工程攻擊，是一種利用"社會(huì)工程學(xué)"來(lái)實(shí)施的網(wǎng)絡(luò)攻擊行為。共三十四頁(yè)P(yáng)AGE3社會(huì)工程學(xué)攻擊引言常規(guī)黑客攻擊社會(huì)工程學(xué)攻擊攻擊對(duì)象網(wǎng)絡(luò)設(shè)備、服務(wù)器、應(yīng)用程序人攻擊手段掃描、破解、溢出、DDos利用人貪婪、自私、好奇、信任等等心理弱點(diǎn)社會(huì)工程學(xué)攻擊(gōngjī)與常規(guī)黑客攻擊(gōngjī)的區(qū)別共三十四頁(yè)撿到的U盤安全(ānquán)嗎？如果(rúguǒ)你無(wú)意撿到一個(gè)U盤，你會(huì)怎么做？PAGE4社會(huì)工程學(xué)攻擊引言在荷蘭，網(wǎng)絡(luò)犯罪分子試圖竊取跨國(guó)企業(yè)的數(shù)據(jù)，他們?cè)谠摴镜耐＼噲?chǎng)“不小心”遺失了安裝了間諜程序的U盤。他們的企圖沒(méi)有得逞是因?yàn)閾斓経盤的人在公司IT部門工作，他發(fā)現(xiàn)了間諜程序，向同事發(fā)出了警告。一個(gè)真實(shí)案例：1、直接交給警察，尋找失主2、拿回去直接插入電腦，看看有沒(méi)有什么艷照之類的文件共三十四頁(yè)1、根據(jù)(gēnjù)搜索引擎對(duì)目標(biāo)信息收集及整理2、根據(jù)微博信息或其他社交網(wǎng)絡(luò)信息收集整理3、根據(jù)踩點(diǎn)或調(diào)查所得到信息4、根據(jù)網(wǎng)絡(luò)釣魚方式得到信息5、根據(jù)目標(biāo)信息管理缺陷得到信息收集信息(xìnxī)的方法PAGE5社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)QQ聊天：攻擊者：你多大?。渴芎φ撸何?4年的攻擊者：我也84的，我3月1號(hào)的，你呢？受害者：那我比你大，我2月3號(hào)得到受害者的生日(shēngri)信息：840203PAGE6社會(huì)工程學(xué)攻擊收集敏感信息簡(jiǎn)單(jiǎndān)：通過(guò)QQ、微信、米聊等即時(shí)通訊工具套取信息共三十四頁(yè)復(fù)雜：通過(guò)社交網(wǎng)站、購(gòu)物網(wǎng)站遺留(yíliú)信息，進(jìn)行人肉搜索PAGE7社會(huì)工程學(xué)攻擊收集敏感信息新浪微博：新浪微博：我們能知道以下(yǐxià)信息：他的微博用戶名：不吃咸蛋的超人他的生日：1988.8.26他的地址：北京海淀根據(jù)新浪博客網(wǎng)址的通用規(guī)則/username微博網(wǎng)址:/u/1729740492知道博客網(wǎng)址：/1729740492共三十四頁(yè)P(yáng)AGE8社會(huì)工程學(xué)攻擊收集敏感信息關(guān)鍵字：lixu1988826共三十四頁(yè)P(yáng)AGE9社會(huì)工程學(xué)攻擊收集敏感信息通過(guò)(tōngguò)百度、谷歌等搜索引擎，搜索關(guān)鍵字：

lixu1988826

共三十四頁(yè)P(yáng)AGE10社會(huì)工程學(xué)攻擊收集敏感信息1、愛(ài)好：攝影，旅游，音樂(lè)，看書（通過(guò)博客大巴里的那句話，“我還年輕，我還喜歡照相，我還有個(gè)樂(lè)隊(duì)，我還是太喜歡旅游”可得到）2、郵箱：lixu19888826@（在QQ的查找(cházhǎo)好友里面輸入該郵箱得到QQ號(hào)碼：1465651494）3、通過(guò)郵箱找回，我們又得到一個(gè)后綴為li*****@的雅虎郵箱4、喜歡的女孩子：段段（通過(guò)這一句，愛(ài)五月天，愛(ài)段段）5、讀過(guò)的學(xué)校：北大附中九班（2007屆）6、電話63935768、66965397通過(guò)對(duì)每個(gè)鏈接(liànjiē)進(jìn)行信息篩選，可以得到以下信息：共三十四頁(yè)P(yáng)AGE11社會(huì)工程學(xué)攻擊收集敏感信息打開相關(guān)鏈接之后，又得到以下豆瓣(dòubàn)鏈接/people/lee_xu/（又得到一個(gè)愛(ài)好：喜歡看書）關(guān)鍵字：lee_xu在谷歌里搜索“l(fā)ee_xu”找到了人人網(wǎng)和facebook的注冊(cè)信息共三十四頁(yè)P(yáng)AGE12社會(huì)工程學(xué)攻擊收集敏感信息下一步是關(guān)鍵階段，搜查一下去年泄露數(shù)據(jù)庫(kù)里面的信息，包括(bāokuò)CSDN、7K7K、多玩、人人網(wǎng)和178.com等等。得到一段密碼關(guān)鍵字符665288，然后窮舉下密碼組合(zǔhé)，窮舉幾個(gè)密碼以后，順利進(jìn)入hotmail郵箱。在多玩的庫(kù)里通過(guò)搜索：lixu1988826，得到以下字段信息：共三十四頁(yè)P(yáng)AGE13社會(huì)工程學(xué)攻擊收集敏感信息進(jìn)入郵箱之后，繼續(xù)挖掘信息(xìnxī)，得到以下：共三十四頁(yè)P(yáng)AGE14社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)P(yáng)AGE15社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)P(yáng)AGE16社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)P(yáng)AGE17社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)P(yáng)AGE18社會(huì)工程學(xué)攻擊收集敏感信息共三十四頁(yè)P(yáng)AGE19社會(huì)工程學(xué)攻擊收集敏感信息最后整理下搜集(sōují)的資料如下1、姓名：李旭2、身份證號(hào)碼：11010819880826XXXX3、手機(jī)號(hào)碼：138114387964、家庭住址：北京市海淀區(qū)5、工作單位及地址：環(huán)球雅思(yǎsī)6、個(gè)人興趣愛(ài)好：攝影，旅游，音樂(lè)，看書7、QQ帳號(hào)常用Email：lixu1988826@、lixu1988826@9、之前就讀的學(xué)校：大學(xué)：首都師范大學(xué)-香港浸會(huì)大學(xué)合辦的聯(lián)合國(guó)際學(xué)院高中:北京大學(xué)附屬中學(xué)-2004年初中:北京大學(xué)附屬中學(xué)-2001年小學(xué):七一小學(xué)-1995年10、新浪微博帳號(hào)及密碼：lixu1988826@11、家庭電話號(hào)碼：639357686696539712、出生年齡及生日：1988.08.2613女朋友：高中的時(shí)候喜歡段段，現(xiàn)在的女朋友是尹斌娜共三十四頁(yè)1、虛假郵件攻擊2、虛假網(wǎng)站攻擊3、利用IM程序(QQ、MSN等)4、利用移動(dòng)通信工具假冒(jiǎmào)他人進(jìn)行欺騙網(wǎng)絡(luò)(wǎngluò)釣魚（Phishing）PAGE20社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊共三十四頁(yè)P(yáng)AGE21社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊下面(xiàmian)舉幾個(gè)栗子共三十四頁(yè)1、電子郵件偽裝：部分郵件還會(huì)偽裝成發(fā)錯(cuò)對(duì)象的樣子(yàngzi)，并附帶一個(gè)病毒附件，一旦觸發(fā)了你的好奇心，就意味著你中招了！<尊敬的用戶>

您的新浪郵箱帳號(hào)已被系統(tǒng)

抽選為《中國(guó)好聲音互動(dòng)有獎(jiǎng)》活動(dòng)幸運(yùn)之星，您將獲得加多寶提供的￥68000元(人民幣)及蘇寧電器公司贊助的獎(jiǎng)品：三星Q40時(shí)尚筆記本電腦一臺(tái)!

（請(qǐng)點(diǎn)擊此處登陸領(lǐng)獎(jiǎng)）請(qǐng)牢記您的驗(yàn)證碼：【8862】請(qǐng)妥善保管您的領(lǐng)取資格，防止他人或黑客盜取。PAGE22社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊共三十四頁(yè)2、虛假網(wǎng)站(wǎnɡzhàn)攻擊跟真實(shí)網(wǎng)站面貌幾乎一樣，僅域名中某個(gè)(mǒuɡè)字母存在差異。如:->PAGE23社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊共三十四頁(yè)3、QQ尾巴(wěiba)PAGE24社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊QQ尾巴是一種(yīzhǒnɡ)攻擊QQ軟件的木馬程序，中毒之后，QQ會(huì)無(wú)故向好友發(fā)送垃圾消息或木馬網(wǎng)址。如：某天你的1個(gè)朋友在QQ發(fā)信息你：呵呵，其實(shí)我覺(jué)得這個(gè)網(wǎng)站真的不錯(cuò)，你看看！http://ww.******.com/

共三十四頁(yè)4、短信欺詐(qīzhà)PAGE25社會(huì)工程學(xué)攻擊網(wǎng)絡(luò)釣魚式攻擊爸，我和女朋友去外面開房被抓了，可能要上報(bào)學(xué)校，張警官說(shuō)可以死了，趕緊匯10萬(wàn)元到張警官賬戶上，里面看得緊，出來(lái)(chūlái)我再打電話你?？ㄌ?hào)：6226XXXXXXXXXXXX姓名：張XX沒(méi)事兒子，跟張警官說(shuō)，你爸是李剛。共三十四頁(yè)社會(huì)(shèhuì)調(diào)查PAGE26社會(huì)工程學(xué)攻擊密碼心理學(xué)攻擊當(dāng)我們?cè)O(shè)定密碼時(shí)一般的人都會(huì)用自己(zìjǐ)熟悉的單詞，這樣能使他們便于記憶！沒(méi)辦法，人天生就懶惰！那么哪些單詞是他們?nèi)菀子涀〉哪?！有沒(méi)有規(guī)律呢？答案是肯定的?。?！曾經(jīng)有這樣一個(gè)心理實(shí)驗(yàn)：在某大學(xué)隨機(jī)抽取一百名學(xué)生，然后要他們寫下二個(gè)單詞！并告訴他們這個(gè)單詞是用于電腦的開機(jī)密碼非常重要，且將來(lái)的使用率也很高！要求他們盡量慎重考慮！

結(jié)果是……共三十四頁(yè)結(jié)果(jiēguǒ)1、用自己的中文拼音(pīnyīn)者最多，有37人，如：wanghai,zhangli,shenqin,等等。2、用常用的英文單詞23人其中許多人都用了很有特定意義的單詞，如:hello,good,happy,anything,等等。

3、用自己的出生日期7人其中年月日各不相同。但其中有3人用了中國(guó)常用的日期表示方法！如970203,199703.050498等。PAGE27社會(huì)工程學(xué)攻擊密碼心理學(xué)攻擊警示：要謹(jǐn)慎設(shè)置自己的密碼?。?！共三十四頁(yè)利用社會(huì)工程學(xué)原理生成(shēnɡchénɡ)密碼字典PAGE28社會(huì)工程學(xué)攻擊密碼心理學(xué)攻擊共三十四頁(yè)P(yáng)AGE29社會(huì)(shèhuì)工程學(xué)攻擊應(yīng)對(duì)(yìngduì)社會(huì)工程學(xué)攻擊要使用社會(huì)工程學(xué)進(jìn)行攻擊，必須要了解攻擊目標(biāo)對(duì)象的相關(guān)信息。1、提高自我安全意識(shí)，提高警惕性。2、注意保護(hù)自己的隱私。3、認(rèn)真對(duì)待自己的各種密碼。三點(diǎn)建議：共三十四頁(yè)P(yáng)AGE30社會(huì)工程學(xué)攻擊最后的例子最后一個(gè)(yīɡè)栗子共三十四頁(yè)天下沒(méi)有(méiyǒu)免費(fèi)的午餐…PAGE32社會(huì)工程學(xué)攻擊最后的例子SSID：ST