社會工程學攻擊培訓課件

1、,By:sinmen2012-11,,,社會工程學攻擊,一、引言二、收集敏感信息三、網(wǎng)絡釣魚式攻擊四、密碼心理學攻擊五、應對社會工程學攻擊,在信息安全領域中的社會工程學,通過心理弱點、本能反應、好奇心、信任、貪婪等一些心理陷阱進行的諸如欺騙、傷害、信息盜取、利益謀取等對社會及人類帶來危害的行為。,世界頭號黑客凱文·米特尼克在其自傳《欺騙的藝術》一書中，對社會工程學在信息安全領域的應用進行了如下定義：,社會工程攻擊，是

2、一種利用"社會工程學" 來實施的網(wǎng)絡攻擊行為。,社會工程學攻擊與常規(guī)黑客攻擊的區(qū)別,撿到的U盤安全嗎？,如果你無意撿到一個U盤，你會怎么做？,在荷蘭，網(wǎng)絡犯罪分子試圖竊取跨國企業(yè)的數(shù)據(jù)，他們在該公司的停車場“不小心”遺失了安裝了間諜程序的U盤。他們的企圖沒有得逞是因為撿到U盤的人在公司IT部門工作，他發(fā)現(xiàn)了間諜程序，向同事發(fā)出了警告。,一個真實案例：,1、直接交給警察，尋找失主,2、拿回去直接插入電腦，看看有沒有什么

3、艷照之類的文件,1、根據(jù)搜索引擎對目標信息收集及整理2、根據(jù)微博信息或其他社交網(wǎng)絡信息收集整理3、根據(jù)踩點或調(diào)查所得到信息4、根據(jù)網(wǎng)絡釣魚方式得到信息5、根據(jù)目標信息管理缺陷得到信息,收集信息的方法,QQ聊天： 攻擊者：你多大??？ 受害者：我84年的 攻擊者：我也84的，我3月1號的，你呢？ 受害者：那我比你大，我2月3號 得到受害者的生日信息：840203,簡單：通過QQ、微信、米聊等即時通訊工具套取信息,

4、復雜：通過社交網(wǎng)站、購物網(wǎng)站遺留信息，進行人肉搜索,新浪微博：,新浪微博：,我們能知道以下信息：他的微博用戶名：不吃咸蛋的超人他的生日： 1988.8.26他的地址：北京海淀,根據(jù)新浪博客網(wǎng)址的通用規(guī)則blog.sina.com/username微博網(wǎng)址:weibo.com/u/1729740492知道博客網(wǎng)址：blog.sina.com/1729740492,,關鍵字：lixu1988826,通過百度、谷歌等搜索引擎，搜索關鍵

5、字： lixu1988826,,PAGE 10,1、愛好：攝影，旅游，音樂，看書（通過博客大巴里的那句話，“我還年輕，我還喜歡照相，我還有個樂隊，我還是太喜歡旅游”可得到）2、郵箱：lixu19888826@hotmail.com（在QQ 的查找好友里面輸入該郵箱得到QQ 號碼：1465651494）3、通過郵箱找回，我們又得到一個后綴為li*****@yahoo.com.cn 的雅虎郵箱4、喜歡的女孩子：段段（通過這一

6、句，愛五月天，愛段段）5、讀過的學校：北大附中九班（2007 屆）6、電話：13811438796、63935768、66965397,通過對每個鏈接進行信息篩選，可以得到以下信息：,,PAGE 11,打開相關鏈接之后，又得到以下豆瓣鏈接http://book.douban.com/people/lee_xu/（又得到一個愛好：喜歡看書）關鍵字：lee_xu在谷歌里搜索“l(fā)ee_xu” 找到了人人網(wǎng)和facebook 的

7、注冊信息,,,PAGE 12,下一步是關鍵階段，搜查一下去年泄露數(shù)據(jù)庫里面的信息，包括CSDN、7K7K、多玩、人人網(wǎng)和178.com等等。,得到一段密碼關鍵字符 665288，然后窮舉下密碼組合，窮舉幾個密碼以后，順利進入hotmail 郵箱。,在多玩的庫里通過搜索：lixu1988826，得到以下字段信息：,,PAGE 13,進入郵箱之后，繼續(xù)挖掘信息，得到以下：,,PAGE 14,,PAGE 15,,PAGE 16,,P

8、AGE 17,,PAGE 18,,PAGE 19,最后整理下搜集的資料如下,1、姓名：李旭2、身份證號碼：11010819880826XXXX3、手機號碼：138114387964、家庭住址：北京市海淀區(qū)5、工作單位及地址：環(huán)球雅思6、個人興趣愛好：攝影，旅游，音樂，看書7、QQ 帳號：14656514948 、常用Email：lixu1988826@hotmail.com、lixu1988826@sina.com

9、9、之前就讀的學校： 大學：首都師范大學-香港浸會大學合辦的聯(lián)合國際學院 高中 :北京大學附屬中學 - 2004 年 初中 :北京大學附屬中學 - 2001 年 小學 :七一小學 - 1995 年10、新浪微博帳號及密碼：lixu1988826@hotmail.com11、家庭電話號碼：63935768 6696539712、出生年齡及生日：1988.08.2613 女朋友：高中的時候喜歡

10、段段，現(xiàn)在的女朋友是尹斌娜,1、虛假郵件攻擊2、虛假網(wǎng)站攻擊3、利用IM程序(QQ、MSN等)4、利用移動通信工具假冒他人進行欺騙,網(wǎng)絡釣魚（Phishing）,,PAGE 20,,PAGE 21,下面舉幾個栗子,1、電子郵件偽裝：部分郵件還會偽裝成發(fā)錯對象的樣子，并附帶一個病毒附件，一旦觸發(fā)了你的好奇心，就意味著你中招了！,       &

11、#160;  您 的 新 浪 郵 箱 帳 號 已 被 系 統(tǒng)  抽 選 為《中國好聲音互動有獎》活 動 幸 運 之 星，您 將 獲得加多寶提供的 ￥ 68000 元( 人 民 幣 ) 及 蘇寧電器公 司 贊 助 的 獎 品 ：三 星 Q40 時 尚 筆 記 本 電 腦 一 臺!  （請 點 擊 此 處 登 陸 領 獎）請 牢 記 您 的 驗 證 碼：【8862】請 妥 善 保 管 您 的 領 取

12、資 格，防 止 他 人 或 黑 客 盜 取。,,PAGE 22,2、虛假網(wǎng)站攻擊,跟真實網(wǎng)站面貌幾乎一樣，僅域名中某個字母存在差異。如 : www.icbc.com.cn -> www.1cbc.com.cn,,PAGE 23,3、QQ尾巴,,PAGE 24,QQ尾巴是一種攻擊QQ軟件的木馬程序，中毒之后，QQ會無故向好友發(fā)送垃圾消息或木馬網(wǎng)址。,如：某天你的1個朋友在QQ發(fā)信息你：呵呵，其實我覺得這個網(wǎng)站真的不錯，你看

13、看！http://ww.******.com/,4、短信欺詐,,PAGE 25,爸，我和女朋友去外面開房被抓了，可能要上報學校，張警官說可以死了，趕緊匯10萬元到張警官賬戶上，里面看得緊，出來我再打電話你?？ㄌ枺?226XXXXXXXXXXXX姓名：張XX,,沒事兒子，跟張警官說，你爸是李剛。,,社會調(diào)查,,PAGE 26,當我們設定密碼時一般的人都會用自己熟悉的單詞，這樣能使他們便于記憶！沒辦法，人天生就懶惰！那么哪些單詞

14、是他們?nèi)菀子涀〉哪?！有沒有規(guī)律呢？答案是肯定的?。?！,曾經(jīng)有這樣一個心理實驗：在某大學隨機抽取一百名學生，然后要他們寫下二個單詞！并告訴他們這個單詞是用于電腦的開機密碼非常重要，且將來的使用率也很高！要求他們盡量慎重考慮！,結果是……,結果,1、用自己的中文拼音者最多，有37人，如：wanghai ,zhangli,shenqin,等等。2、用常用的英文單詞 23人其中許多人都用了很有特定意義的單詞，如:hello, good

15、, happy, anything,等等。3、用自己的出生日期 7人其中年月日各不相同。但其中有3人用了中國常用的日期表示方法！如970203,199703.050498等。,,PAGE 27,警示：要謹慎設置自己的密碼?。?！,利用社會工程學原理生成密碼字典,社會工程學攻擊,應對社會工程學攻擊,要使用社會工程學進行攻擊，必須要了解攻擊目標對象的相關信息。,1、提高自我安全意識，提高警惕性。2、注意保護自己的隱私。3、認真對待自