目录
如果错过互联网,与你擦肩而过的不仅仅是机会,而是整整一个时代。
基本概念
社会工程学从原理上来说，是通过分析攻击对象的心理弱点，利用人的本能反应以及人的好奇心，贪婪等心理行为特征进行的攻击。
现代社会，社会工程学攻击可以利用社交网络进行信息搜集，同时隐藏自己的真实身份。攻击者可以通过浏览个人空间，分析微博，朋友圈，用即时聊天工具与目标在线沟通，取得目标信任，甚至目标个人隐私。而后结合相应的技术手段，通过网络进行攻击。这种通过互联网进行的攻击大大降低了社会工程师所面临的危险。
技术框架
信息搜集
搜集信息要考虑以下几点：
- 可利用的资源有哪些
- 如何获得更多的信息
- 信息的分类，整合，存储，分析
信息渠道可分为在线研究和垃圾搜寻。在线研究就是通过用户在互联网上留下的痕迹，分析目标爱好，个人信息，家庭住址，婚姻状况等。垃圾搜寻就是通过对你产生的生活垃圾进行翻找，以确定你的薪资水平，兴趣爱好以及是否独居等，进一步掌握你的个人信息。
信息源可分为传统信息源和非传统信息源。传统信息源指现场环境的一些办公设备，办公资料，工作日志，相机等。非传统信息源是指网络上对社工提供基础资料的库，目标的网络痕迹等。
搜集的信息越完备，成功的机率就会越高，全身而退的几率也会更高。从搜集到的信息中提取有用的信息就要把信息分门别类，实现攻击信息和善后信息的分离。
攻击信息就是对目标信息的分析得出的可能密码，主机漏洞，心理漏洞等可以用于攻击目标的信息。善后信息就是指在攻击完目标之后，通过搜集到的信息提取目标的弱点，结合心理学手段能够使目标在心理上对攻击行为默许，达到全身而退的目的。
社工心理学
人总是最佳突破口，只要有人的地方就有突破口，因为人是最大的漏洞。只要你倾听他们，观察他们，人的漏洞就像暗夜里的明月一样显而易见。
利用刻板印象
利用目标对某一事物或者现象的刻板印象，拉近距离，引起共鸣，得到攻击者想要的信息。
从内部入手
获取目标团队内部人员的资料信息，以威胁，恐吓，恭维，招揽等方式使他能够为攻击者提供该团队的信息，达到攻击目标的目的。
密码心理学
从用户的心理入手，分析对方心理，结合前期获得的个人信息，更快的破解密码。常见的密码心理学攻击方式：针对出生日期进行破解；针对用户电话号码和区号进行破解；针对身份证号进行破解；针对目标周围人的信息进行破解；针对用户常用网站密码进行破解；针对简单密码如123456，666666，147258等进行破解。
······
常见的攻击手段
结合目标的电子邮件的响应速度，重视程度以及其他相关资料，判断目标的账号密码等大致内容，从而获得敏感信息。
使用钓鱼邮件，网页等欺骗目标，诱导墓表进入指定页面并下载恶意程序，或者要求输入账号密码等敏感信息而达到欺骗伪装的目的。
说服目标为攻击提供便利条件，当利益没有冲突的时候，这种方法会非常有效。
恐吓目标，利用目标对漏洞，病毒，木马等的的敏感性，以权威机构的身份散布安全警告，系统风险之类的消息，编造夸大漏洞危害，并声称不按所说的方式解决会造成很大的危害和损失。
利用人性的好奇，贪婪，盲目信任等实行欺骗，恭维他人，达到获取信息的目的。
反向社会工程学，即使用技术手段或非技术手段使目标，使目标自己透露出攻击者所需的信息，这种方法危害极大而且不易察觉。
······
防范方法
- 多了解相关知识，掌握社工原理，手段及危害，增强防范意识。
- 保持理性思维，不贪小便宜，不盲目听信，保持一颗怀疑的心，提高警惕，发觉不对，立马报警。
- 不要随意丢弃含个人信息的废物，丢弃前要做脱密处理，防止因个人信息泄露造成不必要的财产经济损失。
世界上没有不透风的墙，也没有绝对安全的系统，最安全的计算机就是把掉了插头的那一台。人是社会动物，我们无法脱离社会而自己生存，所以在生活过程中，要提高警惕，保持理性，不要轻易透露自己的个人信息，相信自己的判断，不要被牵着鼻子走。
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
