击穿盲点——【网络安全】社会工程学中的网络欺骗

社会工程学起源于上世纪60年代左右，是一种通过人际交流的方式来获得情报的非技术渗透手段。这种手段无需过多技术要求，却非常有效，目前已成为危害企业网络安全的重大威胁之一。著名黑客凯文·米特尼克在《反欺骗的艺术》中曾提到，人为因素才是安全的软肋。许多企业会在信息安全上投入重金，然而却避免不了数据泄露的局面，究其原因，是出现在人身上。以下是一些社工技巧，以及对应的防御手段。

一、社工技巧

1、钓鱼邮件攻击

钓鱼邮件攻击是指向目标发送特定伪装邮件以说服受害者进行某项操作，比如点击文中链接，从而达到获取受害者敏感信息的目的。成功实施钓鱼攻击的关键是个性化与特制。向特定目标发送特制的邮件，若是从受信任的邮箱发送，且邮件措辞得体，则可提高目标对邮件的信任度以及遵从邮件指示的几率。

2、伪装假托

用电话或通过网络交流平台来联系目标，以话术从目标口中套取信息。此方法常用于能提供有用信息的非技术人员。比如伪装成要购买目标企业的产品，或是寻求技术支持。攻击者可提出一些简单的要求，并给出企业内部一些真实员工的名字。一旦双方建立起良好关系，便可伺机套取更多有用的敏感信息。

3、浏览器搜索目标

（1）在Baidu或Google等浏览器上利用语法搜索目标的电话号码、QQ号、常用ID等相关信息，在得到有用信息后可以再扩大搜索范围，比如毕业学校，出生日期，邮件地址等。（2）可以通过微博、博客这些交友平台获取到目标的兴趣爱好、照片、真实姓名以及经常互动的朋友。通过注意留言评论中和目标比较熟悉的人，通过第三方人查到对方手机号码，或者假冒目标的朋友、同事、亲人等从第三方口中套出更多信息。（3）搜集到目标基本信息后，可以通过照片去Baidu或Google这些浏览器人肉搜索，注意有些照片可能还会暴露地理位置。（4）利用得到的信息，伪装成异性加对方好友，借其感兴趣的话题进行交流，在取得对方信任后，借此套出更多敏感信息，或是向对方邮箱发送木马。（5）同时通过数据库查询目标的QQ、微信、电话、邮箱密码等。

二、防御手段

1、针对“钓鱼邮件”

加强防范意识，不要点开陌生邮件的附件和链接；提高甄别能力，注意甄别发件箱是否确为发件企业的邮箱。

2、针对“伪装假托”

不要随意暴露个人信息于互联网上，在无任何可验证对方身份信息真实性的前提下，不要向对方泄露企业敏感信息和个人敏感信息。

3、针对“浏览器搜索”

不要将个人重要信息暴露于互联网上，以防被“人肉搜索”而导致资料外泄和隐私泄露。在信息安全中，人的因素是最不稳定和最脆弱的环节。社会工程学就是利用人的弱点，通过欺骗手段进而入侵计算机系统的一种攻击方式。但社会工程学并非无所不能，对于企业来说，安全意识和高级技术很重要，对于大众来说，提高安全意识教育，警惕防范，也能让社会工程学无法奏效。

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取 

读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）

同时每个成长路线对应的板块都有配套的视频提供： 

大厂面试题

视频配套资料&国内外网安书籍、文档

当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料

 所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~ 

读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）

特别声明：

此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。