第二部攻擊者的手段

1、第二部第二部攻擊者的手段攻擊者的手段第二章第二章無(wú)害信息的價(jià)值無(wú)害信息的價(jià)值對(duì)大多數(shù)人來(lái)說(shuō)，社會(huì)工程師的真正威脅在哪里？又該如何保持警惕？如果社會(huì)工程師的目標(biāo)是“最有價(jià)值獎(jiǎng)”——比如，企業(yè)智力資產(chǎn)的核心組成。那么也許需要的是更堅(jiān)固的保險(xiǎn)庫(kù)和全副武裝的保安，對(duì)么？但在現(xiàn)實(shí)中，壞人滲透企業(yè)安全的第一步就是獲得某些似乎無(wú)利害關(guān)系的信息和文件，這些信息和文件看起來(lái)十分平常，也不重要，公司里的人大都不明白為什么這些東西會(huì)被限制和保護(hù)。信息的隱藏價(jià)

2、值信息的隱藏價(jià)值社會(huì)工程師十分重視企業(yè)中許多表面上看去無(wú)利害關(guān)系的信息，因?yàn)檫@些信息是他能否披上可信外衣的至關(guān)重要的因素。在這一章里，我將通過(guò)讓讀者“親身”經(jīng)歷攻擊過(guò)程，來(lái)展示社會(huì)工程師的攻擊手段。有時(shí)從受害人的角度來(lái)表現(xiàn)情節(jié)，讓讀者以當(dāng)事人的身份估計(jì)自己（或是你的同事和員工）可能會(huì)做出的反應(yīng)。而更多的時(shí)候，讓讀者從社會(huì)工程師的角度來(lái)經(jīng)歷攻擊過(guò)程。第一個(gè)故事著眼于金融行業(yè)的一個(gè)漏洞。信譽(yù)支票信譽(yù)支票(CREDITCHEX)曾經(jīng)有一段很長(zhǎng)

3、的時(shí)期，英國(guó)的銀行系統(tǒng)十分閉塞，大街上一位誠(chéng)實(shí)普通的市民并不能隨便走進(jìn)銀行而直接申請(qǐng)一個(gè)銀行帳戶。銀行不會(huì)把他當(dāng)做客戶，除非他帶有某位正式銀行客戶的推薦信?！班?，克瑞絲，我是阿萊克斯?！贝螂娫挼娜苏f(shuō)，“我是‘信譽(yù)支票’的客服代表，我們?cè)谧鲆豁?xiàng)改善服務(wù)質(zhì)量的調(diào)查。能耽誤您幾分鐘么？”克瑞絲表示愿意，打電話的人繼續(xù)：“好的。你們部門(mén)營(yíng)業(yè)時(shí)間是多少？”她給予回答，并接著回答下面的一系列問(wèn)題?！澳銈儾块T(mén)有多少人使用我們的服務(wù)？”“大約多長(zhǎng)時(shí)間給

4、我們打一次咨詢電話？”“您用的是我們哪一個(gè)800免費(fèi)電話號(hào)碼？”“我們的客服代表服務(wù)態(tài)度好么？”“我們對(duì)業(yè)務(wù)的響應(yīng)時(shí)間如何？”“您在銀行工作多長(zhǎng)時(shí)間了？”“您通常使用的交易號(hào)是多少？”“您是否發(fā)現(xiàn)過(guò)我們提供過(guò)的信息不準(zhǔn)確？”“如果您對(duì)我們的服務(wù)有所建議，建議是什么呢？”最后：“如果我們把定期調(diào)查表寄到你們部門(mén)，您會(huì)填寫(xiě)么？”她表示同意，然后彼此簡(jiǎn)單對(duì)了幾句話，電話掛掉，克瑞絲繼續(xù)她的工作。第三個(gè)電話：亨利第三個(gè)電話：亨利麥克金賽麥克金賽

5、(HenryMcKinsey)“信譽(yù)支票，我是亨利麥克金賽，需要幫忙么？”打電話的人表明自己是國(guó)家銀行的職員，并報(bào)出正確的交易號(hào)，以及他想查詢的人的名字和社會(huì)保險(xiǎn)號(hào)。亨利要求出生日期，他也報(bào)上。不一會(huì)兒，亨利看著自己的計(jì)算機(jī)屏幕讀道：“韋爾斯法果在1998年報(bào)過(guò)一次NSF”——客戶賬款不足（NonSufficientFunds），支票已開(kāi)出，賬戶里卻沒(méi)有足夠錢(qián)支付的銀行常用專業(yè)用語(yǔ)。“自那之后，還有資金往來(lái)么？”“沒(méi)有了?！薄坝袥](méi)有申請(qǐng)