目录

简介

社会工程学（Social Engineering，又被翻译为：社交工程学）在上世纪 60 年代左右作为正式的学科出现，在计算机科学中，社会工程学指的是通过与他人的合法地交流，来使其心理受到影响，做出某些动作或者是透露一些机密信息的方式。这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。在有些国家的法律中，这一行为一般是被认作侵犯隐私权。

历史上，社会工程学是隶属于社会学，不过其影响他人心理的效果引起了计算机安全专家的注意。

经典技术

直接索取

直接向目标人员索取所需信息

个人冒充

  • 重要人物冒充 — 假装是部门的高级主管，要求工作人员提供所需信息
  • 求助职员冒充 — 假装是需要帮助的职员，请求工作人员帮助解决网络问题，借以获得所需信息
  • 技术支持冒充 — 假装是正在处理网络问题的技术支持人员，要求获得所需信息以解决问题

反向社会工程

定义： 迫使目标人员反过来向攻击者求助的手段

步骤：

  • 破坏（Sabotage）— 对目标系统获得简单权限后，留下错误信息，使用户注意到信息，并尝试获得帮助
  • 推销（Marketing）— 利用推销确保用户能够向攻击者求助，比如冒充是系统维护公司，或者在错误信息 里留下求助电话号码
  • 支持（Support）— 攻击者帮助用户解决系统问题，在用户不察觉的情况下，并进一步获得所需信息

邮件利用

木马植入：在欺骗性信件内加入木马或病毒

群发诱导：欺骗接收者将邮件群发给目标所有朋友和同事

演进技术

钓鱼技术

模仿合法站点的非法站点

目的： 截获受害者输入的个人信息（比如密码）

技术： 利用欺骗性的电子邮件或者跨站攻击诱导用户前往伪装站点

域欺骗技术

定义： 域欺骗是钓鱼技术加 DNS 缓冲区毒害技术（DNS caching poisoning）

步骤：

  • 攻击 DNS 服务器，将合法 URL 解析成攻击者伪造的 IP 地址
  • 在伪造 IP 地址上利用伪造站点获得用户输入信息

非交互式技术

目的： 不通过和目标人员交互即可获得所需信息

技术：

  1. 利用合法手段获得目标人员信息：eg. 垃圾搜寻（dumpster diving）、搜索引擎（Chicago Tribune 利用 Google 获得 2600 个 CIA 雇员个人信息，包括地址、电话号码）
  2. 利用非法手段在薄弱站点获得安全站点的人员信息：eg. 论坛用户挖掘、合作公司渗透

多学科交叉技术

心理学技术：分析网管的心理以利用于获得信息

  1. 常见配置疏漏：明文密码本地存储、便于管理简化登陆

  2. 安全心理盲区：容易忽视本地和内网安全、对安全技术（比如防火墙、入侵检测系统、杀毒软件等）盲目信任、信任过度传递

组织行为学技术：分析目标组织的常见行为模式，为社会工程提供解决方案

多技术配合使用

如果需要实现高级社会工程学攻击则必须灵活运用各技术的配合使用，现在很多APT（高级持续性威胁）都运用了社会工程学多技术配合。

版权声明

本文摘自：上海市公安局网络安全顾问'彭一楠'2006年某篇演讲PPT。