标签： 社会工程学

《我是谁》真实的地方在于多次提到一个以往黑客电影从未涉及的概念：Social Engineering，即社会工程学。这才是顶尖黑客最可怕的武器。

社会工程学（Social Engineering）是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。社会工程学攻击在近年来的一些网络入侵事件中起到了很大的作用，对企业信息安全有很大的威胁性。

我和我的小伙伴们住的地方离某知名艺术大学比较近，某天晚上下班回家，在开门的时候碰到几位美女，发现她们住在我们对面，使我们这群IT基友们甚是激动。巴不得凑上去对美女说一句“我是修电脑的，你家电脑慢不慢，我免费帮你弄下？”。

吉姆·斯蒂克利（Jim Stickley）是一名至今“逍遥法外的窃贼”。20年来，他攻入了超过1000家银行，但从未因此被逮捕。正因为他，我们银行帐号才变得更安全。斯蒂克利的真实身份是“渗透测试员”——一颗打入银行安全网络的测试弹。 他的生活和电影《大盗》里面的情景差不多。这是一部1992年的经典黑客电影，由罗伯特·雷德福（Robert Redford）主演。银行、政府、企业聘请斯蒂克利来测试他们...

黑客社会工程学攻击2 黑手不出，谁与争锋！阔别4年，社工尸再现江湖。 2008年 《黑客社会工程学攻击》上市，它是当时国内第一本“社工尸”图书，启智中国式社工黑商。荣获当年最为畅销的安全黑客类图书，被誉为中国版的《欺骗的艺术》。该书曾是当年官方淘宝店以及代理淘宝店的“镇店之宝”。在售罄之后，有读者曾以高出原书几倍的价格才从其他渠道购得。 2013年 “社工尸”蛰伏4年，卷土重来，《黑客社会工程学攻...

2012年的大门正在关闭，展望新一年的时候到了。就在你为2013年制定商业与IT计划的同时，网络罪犯们也正在制定新年规划，准备着针对特定计算机系统与大大小小的组织发起愈加复杂的攻击。

【IT168 编译】随着IT环境的越来越复杂，企业面临的最令人担忧的安全问题越来越多，除了已经存在多年且仍然猖獗的威胁，例如诱使员工下载病毒的社会工程学威胁等。另外，越来越多的企业沦为黑客行动主义(hacktivism)的受害者，而大多数首席信息官才刚开始考虑如何应对这个问题。然而，企业面对的最大安全问题仍然是一些简单的错误问题，例如松散的访问政策以及内部员工的人为失误。 最新的Verizon报告...

　　以前游侠曾经写过一篇 [一次利用社会工程学的简单入侵] ，今天看到另一篇文章 [反社会工程学培训：人为错误的第一道防线] 于是就有了本文的诞生……当然，在此之前，游侠也推荐您读一下这一篇 [2011年已知的第一起经典社会工程学入侵] ，相信您会对社会工程学入侵产生一定的兴趣。

　　其实，社会工程学入侵并不是新花样，但是在目前各种安全防护措施日渐繁多的情况下，越来越凸显出其重要性。因为

　　身份窃取已经成为犯罪的老黄历了。攻击者们已经不再满足于把个人当作目标，现在他们看上了更具价值的东西，即你的客户的数据。

　　当涉及保护网络时，IT专业人员们通常将目光投向技术。我们堆叠的技术层面越多，每个层面越多样化，我们就认为网络一定更安全。但是，企业往往都失败了，因为他们忽视了内部安全。这并不意味着企业在仔细审阅安全策略和维护企业自身安全方面的失败（尽管作为IT医生的我们往往把病人们

　　某些世界五百强公司需要升级他们的网络浏览器，而与此同时在企业内部进行关于社会工程学的培训绝对不是个坏主意。

　　社会工程黑客，是指诱骗员工做或者说他们不应该做和说的事情，社会工程学定位在计算机信息安全工作链的一个最脆弱的环节，即“人”这个环节上。这些社会工程黑客在Defcon黑客大会上成功攻入世界五百强公司，向我们展示了社会工程攻击的厉害。

　　首先参赛者通过大公司（包括微软、思科系统、苹果和Shell公司）IT员工获取了所有可以用于计算机攻击的信息，包括他们正在使用的浏览器和版本、用于打开pdf文件的软件、操作系统和服务包号码、邮件客户端、使用的杀毒软件，甚至是当地无线网络的名称。
...

看到这个题目可能很多人感到奇怪：黑客不是都在埋头学Perl、溢出、SQL注入……？怎么又来了一个社会工程学？

下面我们就来聊一下社会工程学入侵：

当然，社会工程学的原本意思我就不详细解释了，因为我看了很久都没有看出是什么意思来，枯燥的厉害，是架着眼镜的老先生研究的问题，我们不去考虑。我们说的是社会工程学在信息安全方面的实现。

基本的意思就是：利用一切途径、手段，搜集攻击目标的资料，然后利用已知资料攻陷对方。比如某某网站的站长在他那里发表了很多不利于我的言论，要是他在我面前，我立刻会扑上去咬死他(好在不在我面前，呵呵)，但是我却是一个技术菜鸟，什么注入、溢出、脚本之类的一点也不懂，怎么办？就此罢休？——当然不！下面就看我是如何搞定一个网站的。OK，Let’s go！