社会工程学工具

社会工程学的概念

社会工程学（Social Engineering）是一种利用人类心理和行为特点进行信息获取、操纵或欺诈的非技术性攻击手段。它通常涉及心理操纵、欺骗、诱导等手段，使目标个体或群体在不知不觉中泄露敏感信息或执行某些行为，从而达到攻击者的目的。

社会工程学攻击可以分为以下几个主要类型：

1.诱骗（Phishing）：通过发送看似合法的电子邮件、短信或电话，诱导受害者提供敏感信息，如用户名、密码、信用卡信息等。

2.预测（Pretexting）：攻击者创造一个虚假的情景或身份，以获取目标的信任，进而诱使目标泄露敏感信息。

3.诱饵（Baiting）：攻击者提供某种诱惑，如免费软件、优惠券等，诱使目标执行某些行为，如点击恶意链接或下载恶意软件。

4.逆向工程（Reverse Social Engineering）：攻击者通过观察目标的行为模式和习惯，然后利用这些信息来设计一个看似合理的请求，使目标在没有怀疑的情况下提供信息或执行某些操作。

5.诱骗（Tailgating）：攻击者跟随一个有权限进入某个区域的人，利用社会信任或疏忽，未经允许进入该区域。

Kali Linux 2中的社会工程学工具包

1.社会工程学（SET）启动的二种方法：

（1）菜单：

（2）命令行：

2、社会工程学（SET）的主菜单：

（1）Social-Engineering Attacks（社会工程学攻击）

（2）Penetration Testing (Fast-Track)（渗透测试）

（3）Third Party Modules（第三方模块）

（4）Update the Social-Engineer Toolkit（升级软件）

（5）Update SET configuration（升级SET配置）

（6）Help, Credits, and About（帮助）

（99）Exit the Social-Engineer Toolkit（退出）

3、“社会工程学攻击”菜单：

（1）Spear-Phishing Attack Vectors（鱼叉式钓鱼攻击向量）

（2）Website Attack Vectors（网站攻击向量）

（3）Infectious Media Generator（媒介感染攻击）

（4）Create a Payload and Listener （创建Payload和Listener）

（5）Mass Mailer Attack（海量邮件攻击）

（6）Arduino-Based Attack Vector （基于Arduino的攻击向量）

（7）Wireless Access Point Attack Vector（无线热点攻击向量）

（8）QRCode Generator Attack Vectors（二维码攻击向量）

（9）Powershell Attack Vector（powershell 攻击向量）

（10）Third Party Modules（第三方模块）

（99）Return back to the main menu（返回主菜单）

用户名和密码的窃取

测试目标单位的用户是否会严格遵守管理协议，是否对来历不明的地址做了充分防御。

菜单： Social-Engineering Attacks / Website Attack Vectors／Credential Harvester Attack Method

实验环境：填写如下IP地址

Kali 2主机IP： 192.168.xxx.xxx                   

靶机（32位Windows7）的IP： 192 .168.xxx.xxx                     

信用盗取攻击方法

1、选择：Social-Engineering Attacks（社会工程学攻击）-- Website Attack Vectors（网站攻击向量）--Credential Harvester Attack Method（信用盗取攻击方法）

2、选择创建伪造网站的方式

常见3种方式：

Web Templates（网站模块）

Site Cloner（网站克隆）---- 选择这种方式！

Custom Import（自定义导入）

3、输入用来接收窃取到的用户名和密码的IP地址

（Kali本机）

4、输入一个用来克隆的网址

（IBM的测试网站：www.testfire.net/bank/login.aspx）

结果：成功启动了伪造好的网站服务器

5、在靶机（32位Windows7）中访问这个伪造的网站

（1）输入Kali的IP

（2）填写用户名和密码（靶机）

（填写用户名和密码之后，单击“Login”提交）

（3）查看浏览器是否跳转？

6、返回Kali虚拟机，看到哪些信息？

总结

社会工程学是一种利用人类心理和行为特点进行非技术性攻击的手段，其核心在于通过心理操纵和欺骗来获取敏感信息或诱导目标执行特定行为。这种攻击方式通常不依赖于复杂的计算机技术，而是依赖于对人性的深刻理解和社会工程技巧。

为了有效防范社会工程学攻击，个人和组织需要采取一系列措施，包括但不限于：

1.提高安全意识：通过教育和培训，让员工了解社会工程学攻击的常见形式和防范方法。

2.实施严格的安全政策：制定明确的安全政策和程序，确保员工在日常工作中遵循最佳安全实践。

3.定期安全培训：定期进行安全意识培训，更新员工对最新社会工程学攻击手段的认识。

4.技术辅助：使用技术手段，如电子邮件过滤、多因素认证等，来辅助检测和防御社会工程学攻击。

5.应急响应计划：制定并定期更新应急响应计划，以便在遭受社会工程学攻击时能够迅速有效地应对。

通过这些措施，可以显著降低社会工程学攻击的风险，保护个人和组织的信息安全。