社工（social worker）.doc

社工（social worker） 文章作者: sarah granger + a0, am i * (c *) p 3 3 i / q, n [5 - d 一个真实的故事 几年前的一个早晨, 一群陌生人走进了一家大型远洋运输公司并控制了该公司的整个计算机网络.他们是怎么做到的? 是通过从该公司的许多不同的员工那里一点点的获得帮助来达到目的的.首先, 他们在实地踩点的两天之前已经对该公司进行了研究了解.例如, 通过给人力资源部门打电话获得了公司重要员工的姓名列表.然后, 他们在大门前假装丢失了钥匙让别人开门放他们进去.最后在进入三楼的安全区域时他们又故伎重演, 这次他们丢失的是他们的身份标志, 而一名员工面带微笑的为他们开了门. * [# b u # w x, k, d 这群陌生人知道该公司的cfo那时不在公司, 所以他们进入了他的办公室并从他没有锁定的个人电脑中获取了财务信息.他们将公司的垃圾堆翻了个遍, 找到了各种有价值的文档.他们获得管理垃圾的门房的帮忙使他们可以将这些东西顺利的带出了公司.这些人同样学会了模仿cfo的声音, 所以他们可以在电话中冒充cfo的身份装作很焦急的样子来询问网络密码.自此, 他们最后终于可以使用常规的黑客手段来获取系统的超级用户权限.3 w5 l) (%) _ t2 l r (v 0 - $_. h6 \; g1 w; k: q * u). (b) 在这个案例中这些陌生人所扮演的角色是cfo请来对自己的计算机进行安全检查的网络安全顾问, 而公司的员工对此都不知情.他们可以在没有从cfo那里获得任何权利的情况下运用社会工程学让自己畅通无阻. 目标和攻击手段 - |). k n p + n $v - g8 w 社会工程学的基本目标和其他黑客手段基本相同: 都是为了获得目标系统未授权访问路径或是对重要信息进行欺骗, 网络入侵, 工业情报盗取, 身份盗取, 或仅仅是扰乱系统或网络.常见的目标包括电话公司和应答服务机构, 著名的大公司和金融组织, 军事和政府机构以及医院.现在对那些网络公司的社会工程学攻击也开始出现了, 但是仅限于那些较为出名的公司. / p - d - e $b7 to d q; w \ 想找一个很好的社会工程学真实案例是很难的.一般成为攻击目标的机构都不愿意承认他们曾经是社会工程学攻击的受害者 (不仅仅是因为承认机构基本安全设施存在缺陷是一件很尴尬的事, 更重要的在于这会大大影响机构的形象) 并且记载这类攻击的文档也很少见, 所以没有人可以肯定他能够完全辨别出正在发生的社会工程学攻击. (1) v $j + z corporation Why is the institution always the goal of social engineering because social engineering is a simpler means of obtaining accounts without access to many technical hacks?. Even for highly skilled people, simply picking up the phone and asking someone for a password is easier than getting access to the system through technical means. And, in fact, thats what hackers do. A social engineering attack on the telephone * N6, H9, g- \ \ M7, j*, Y\ The most popular means of social engineering is by telephone. Hackers can pretend to be a big or important person to call and get information from other users. The consultation desk of the general organization is easily the target of such attacks. Hackers can pretend to call PBX from the inside of the organization, or the companys administrator, so it is not safe to rely on a person who is on the phone. Heres a typical PBX trick that Computer