社會(huì)工程學(xué)攻擊的三個(gè)典例
原創(chuàng)【51CTO 2月13日外電頭條】Chris Hadnagy是靠"騙人"來(lái)領(lǐng)薪水的；這么多年來(lái)，他練就了一套爐火純青的騙人功夫。Hadnagy是社會(huì)工程學(xué)攻擊網(wǎng)站social-engineering.org的創(chuàng)辦人之一，并且著有《社會(huì)工程學(xué)：人力黑客藝術(shù)》一書(shū)，十多年來(lái)他一直在使用操縱策略，向客戶表明犯罪分子在如何竊取信息。
Hadnagy在其新書(shū)中大致介紹了三種典型的社會(huì)工程學(xué)攻擊測(cè)試，并指出了企業(yè)可以從這些結(jié)果中汲取到什么教訓(xùn)。
過(guò)于自信的CEO
在一個(gè)案例研究中，Hadnagy概述了自己如何受雇于一家印刷公司，擔(dān)任社會(huì)工程學(xué)攻擊審查員，其任務(wù)就是設(shè)法闖入該公司的服務(wù)器；這家公司有一些專利工藝和供應(yīng)商名單是競(jìng)爭(zhēng)對(duì)手挖空心思想弄到的。該公司的首席執(zhí)行官（CEO）與Hadnagy的業(yè)務(wù)合作伙伴進(jìn)行了一番電話會(huì)議，告訴Hadnagy"想闖入他公司幾乎是不可能的"，因?yàn)樗?quot;拿自己的性命來(lái)看管秘密資料。"
Hadnagy說(shuō)："他屬于從來(lái)不會(huì)輕易上當(dāng)?shù)哪欠N人。他想著有人可能會(huì)打來(lái)電話，套取他的密碼，他隨時(shí)準(zhǔn)備對(duì)付這樣的花招。"
Hadnagy收集了一些信息后，找到了服務(wù)器的位置、IP地址、電子郵件地址、電話號(hào)碼、物理地址、郵件服務(wù)器、員工姓名和職銜以及更多的信息。但是Hadnagy設(shè)法了解了這位CEO有個(gè)家人與癌癥作斗爭(zhēng)，并活了下來(lái)之后，才真正得到了回報(bào)。因而，Hadnagy開(kāi)始關(guān)注癌癥方面的募捐和研究，并積極投入其中。他通過(guò)Facebook，還獲得了關(guān)于這位CEO的其他個(gè)人資料，比如他最喜愛(ài)的餐廳和球隊(duì)。
他掌握了這手資料后，準(zhǔn)備伺機(jī)下手。他打電話給這位CEO，冒充是他之前打過(guò)交道的一家癌癥慈善機(jī)構(gòu)的募捐人員。他告訴對(duì)方慈善機(jī)構(gòu)在搞抽獎(jiǎng)活動(dòng)，感謝好心人的捐贈(zèng)--獎(jiǎng)品除了幾家餐廳（包括他最喜歡的那家餐廳）的禮券外，還包括由他最喜歡的球隊(duì)參加的比賽的門票。
那位CEO中招了，同意讓Hadnagy給他發(fā)來(lái)一份關(guān)于募捐活動(dòng)更多信息的PDF文檔。他甚至設(shè)法說(shuō)服這位CEO，告訴他的電腦上使用哪個(gè)版本的Adobe閱讀器，因?yàn)樗嬖V對(duì)方"我要確保發(fā)過(guò)來(lái)的PDF文檔是你那邊能打開(kāi)的。"他發(fā)送PDF文檔后沒(méi)多久，那位CEO就打開(kāi)了文檔，無(wú)形中安裝了一個(gè)外殼程序，讓Hadnagy得以闖入他的電腦。
Hadnagy說(shuō)，當(dāng)他和合作伙伴回頭告訴這家公司：他們成功闖入了CEO的電腦后，那位CEO很憤怒，這自然可以理解。
Hadnagy說(shuō)："他覺(jué)得，我們使用這樣的手法是不公道的；但不法分子就是這么干的。不懷好意的黑客會(huì)毫不猶豫地利用這些信息來(lái)攻擊他。"
第一個(gè)教訓(xùn)：對(duì)于竭力搞破壞的社會(huì)工程學(xué)攻擊者來(lái)說(shuō)，沒(méi)有什么信息是訪問(wèn)不了的，不管這是涉及個(gè)人的信息，還是讓對(duì)方易動(dòng)感情的信息。
第二個(gè)教訓(xùn)：自認(rèn)為最安全的人恰恰常常會(huì)帶來(lái)最大的安全漏洞。一名安全顧問(wèn)最近告訴我們，公司主管是最容易被社會(huì)工程學(xué)攻擊者盯上的目標(biāo)。
主題樂(lè)園丑聞
這第二個(gè)案例研究中的對(duì)象是一個(gè)擔(dān)心票務(wù)系統(tǒng)可能被人闖入的主題樂(lè)園客戶。用來(lái)游客簽到的計(jì)算機(jī)還可以連接到服務(wù)器、客戶信息和財(cái)務(wù)記錄?？蛻魮?dān)心：如果用來(lái)簽到的計(jì)算機(jī)被闖入，可能會(huì)發(fā)生嚴(yán)重的數(shù)據(jù)泄密事件。
Hadnagy開(kāi)始了他的測(cè)試，先打電話給這家主題樂(lè)園，冒充是一名軟件銷售員。他推銷的是一種新的PDF閱讀軟件，希望這家主題樂(lè)園通過(guò)免費(fèi)試用版來(lái)試用一下。他詢問(wèn)對(duì)方目前在使用哪個(gè)版本的閱讀軟件，輕而易舉就獲得了信息，于是準(zhǔn)備著手第二步。
下一個(gè)階段需要到現(xiàn)場(chǎng)進(jìn)行社會(huì)工程學(xué)攻擊，為了確保能夠得手，Hadnagy拉上了其家人。他帶著妻子和兒子直奔其中一個(gè)售票窗口，問(wèn)其中一名員工是不是可以用他們的計(jì)算機(jī)打開(kāi)他的電子郵件收到的一個(gè)文件。電子郵件含有一篇PDF附件，里面的優(yōu)惠券可以在買門票時(shí)享受折扣。
Hadnagy解釋："要是她說(shuō)'不行，對(duì)不起，不可以這么做'，那我的整個(gè)計(jì)劃就泡湯了。但是看我那個(gè)樣子，孩子又急于入園，對(duì)方就相信了我。"
那名員工同意了，主題樂(lè)園的計(jì)算機(jī)系統(tǒng)很快被Hadnagy的惡意PDF文檔闖入了。短短幾分鐘內(nèi)，Hadnagy的合作伙伴發(fā)來(lái)了短信，告訴他已"進(jìn)入系統(tǒng)"，并且"在收集報(bào)告所需的信息。"
Hadnagy還指出，雖然主題樂(lè)園的員工政策明確規(guī)定：?jiǎn)T工不得打開(kāi)來(lái)源不明的附件（哪怕客戶需要幫助也不行），但是沒(méi)有落實(shí)規(guī)章制度來(lái)切實(shí)執(zhí)行員工政策。
Hadnagy說(shuō)："人們?cè)敢獠贿z余力地幫助別人解決問(wèn)題。"
第三個(gè)教訓(xùn)：安全政策的效果完全取決于實(shí)際執(zhí)行情況。
第四個(gè)教訓(xùn)：犯罪分子往往抓住員工樂(lè)于助人的善意和愿望來(lái)搞破壞。#p#
黑客反遭攻擊
Hadnagy給出的第三個(gè)例子表明了可以如何運(yùn)用社會(huì)工程學(xué)攻擊來(lái)用于防御。他在書(shū)中虛構(gòu)了一個(gè)名叫"John"的人物，這名滲透測(cè)試人員受雇為一家客戶從事標(biāo)準(zhǔn)的網(wǎng)絡(luò)滲透測(cè)試。他使用開(kāi)源的安全漏洞檢測(cè)工具M(jìn)etasploit進(jìn)行了掃描，結(jié)果發(fā)現(xiàn)了一臺(tái)敞開(kāi)的VNC（虛擬網(wǎng)絡(luò)計(jì)算）服務(wù)器，這臺(tái)服務(wù)器允許控制網(wǎng)絡(luò)上的其他機(jī)器。
他在VNC會(huì)話開(kāi)啟的情況下記錄發(fā)現(xiàn)的結(jié)果，這時(shí)候鼠標(biāo)在后臺(tái)突然開(kāi)始在屏幕上移動(dòng)。John意識(shí)到這是個(gè)危險(xiǎn)信號(hào)，因?yàn)樵诔霈F(xiàn)這個(gè)異常情況的那個(gè)時(shí)間段，誰(shuí)也不會(huì)以正當(dāng)?shù)睦碛蛇B接至網(wǎng)絡(luò)。他懷疑有人入侵進(jìn)入到了網(wǎng)絡(luò)上。
John決定冒一下險(xiǎn)，于是打開(kāi)記事本，開(kāi)始與入侵者聊天，冒充自己是化名為"n00b"的黑客，佯稱自己是個(gè)新手，缺乏黑客技能。
Hadnagy說(shuō)："John想'我怎樣才能從這個(gè)家伙身上收集到更多的信息，為我的客戶提供更大的幫助？'John盡量裝成自己是個(gè)菜鳥(niǎo)，想從黑客高手那里取取經(jīng)，因而滿足了對(duì)方的虛榮心。"
John向這個(gè)黑客問(wèn)了幾個(gè)問(wèn)題，裝作自己是剛?cè)氲赖哪贻p人，想了解黑客行業(yè)的一些手法，想與另一名黑客保持聯(lián)系。等到聊天結(jié)束后，他已弄來(lái)了這個(gè)入侵者的電子郵件和聯(lián)系信息，甚至還弄來(lái)了對(duì)方的照片。他回頭把這些信息匯報(bào)給了客戶，系統(tǒng)容易被闖入的問(wèn)題隨之得到了解決。
Hadnagy另外指出，John通過(guò)與黑客進(jìn)行一番聊天后還得知：對(duì)方其實(shí)不是之前一直"盯著"他所闖入的這家公司，而是四處尋找容易闖入的系統(tǒng)，沒(méi)想到輕而易舉地發(fā)現(xiàn)了那個(gè)敞開(kāi)的系統(tǒng)。
第五個(gè)教訓(xùn)：社會(huì)工程學(xué)攻擊可以成為一家企業(yè)的防御戰(zhàn)略的一部分。
第六個(gè)教訓(xùn)：犯罪分子通常會(huì)選擇容易中招的目標(biāo)下手。要是安全性很差，誰(shuí)都可能會(huì)成為目標(biāo)。
原文鏈接：http://www.networkworld.com/news/2011/020911-social-engineering-3-examples-of.html
【51CTO.com獨(dú)家譯稿，非經(jīng)授權(quán)謝絕轉(zhuǎn)載！合作媒體轉(zhuǎn)載請(qǐng)注明原文出處及出處！】
【編輯推薦】
