1.5案例：生活中的社会工程学攻击

社会工程学是信息时代发展起来的一门“欺骗的艺术”，不论是虚拟的网络空间还是现实的日常生活场景，凡是涉及信息安全的方面，都有社会工程学的应用。

本节将介绍生活中几种常见的有关社会工程学攻击的示例，带领大家深入了解社会工程学，并提高对生活中利用社会工程学实施攻击的警惕性。

1.5.1利用社会工程学获取用户手机号

社会工程学其实是一种与计算机技术相结合的行骗方法，而社会工程学的实施者就可以看作是一个精通计算机的骗子。

为了方便大家理解，在这里将通过一个虚拟例子，说明攻击者是如何通过社会工程学获取用户手机号码的。

假设攻击者试图人侵某个公司的内部办公系统，但无法破解管理员的登录密码。它们可能先利用一些手段获得管理员的手机号，再想办法得到管理员的登录密码。

首先，打开公司的网站，在网站首页的左上角有一个“内部办公系统登录”链接，在该链接下有一个快速登录口，在“登录名”和“密码”文本框中输入相应的内容，即可进入该公司的内部办公系统，或直接单击“内部办公系统登录”链接，在打开的“内部办公系统”页面可直接登录进人公司的内部办公系统。他们可能要做的就是获取管理员的登录密码，但可能先从管理员的手机号码入手，得到他的手机号码后，再想办法获取登录密码。攻击者要想成功获取管理员的手机号，可能按照以下方法进行。

1.搜集用户网络信息

攻击者利用社会工程学，详细地收集管理员在网上的各种信息。比如，管理员常用的邮箱，通常来说，经常在网络上活动的管理员，当它们注册一些论坛或博 客站点服务时，都会用到邮箱。因此，攻击者可以将这些邮箱地址作为关键字，在百度或Google等搜索引擎中搜索相关信息。

从搜索结果中可以看到许多有用的信息，如管理员注册了哪些博客、论坛。同样，他们也可以用管理员的其他邮箱、QQ号和MSN地址等信息作为关键字在网上进行搜索，也可以搜索到不少信息。

另外，还可以在当下流行的社交类型的网络上搜索更详细的信息，以获得用户的真实资料。用户通常都会在注册信息中填写真实的家庭住址、出生日期、手机号码和QQ号码等信息，通过这种方式可以了解到管理员的手机号码或其他重要信息。

2.获得手机号码

如果从网络搜索的信息中可以直接得到目标者的手机号码，就可以利用这个手机号码进行欺骗。但如果只得到了目标者的出生日期、家庭住址或QQ号码，他们一般先将管理员的QQ号加为好友，再通过其他方法骗取目标者的手机号码。

1.5.2利用社会工程学获取系统口令

攻击者在得到管理员的手机号码后，就可以利用身份为伪造去骗取系统口令。身份伪造是指攻击者利用各种手段隐藏真实身份，以一种目标取得信任的身份出现来达到目的。

攻击者大多以能够自由出目标内部身份出现，获取情报和信息或采取更高明的手段，如伪造身份证、ID卡等，在没有专业人士或系统检测的情况下，要识别其真伪是有定难度的。

在各种社交类型的网络上搜索用户信息时，得到管理员的手机号码后，就可以假装是管理员所在公司的一个新员工，然后利用得到的手机号给目标发信息，告诉他“我是你的新同事xxx，是新的xx部门的经理，这是我的手机号码”。再寻找话题与管理员聊天，使其对自己说的话深信不疑。最后，再告诉管理员，x x经理让我在公司内部办公系统上下载一份文档， 但我忘记问他公司的内部办公系统设的密码，你可以把口令告诉我吗，我急需这份文档。当管理员听到这些话后，可能就会相信你所说的，并将口令告诉你。这样，就顺利地从管理员口中获得系统口令了。

当然，这种做法可能有一定的运气成分， 但像这种疏忽大意且防备心理不强的人非常多，社会工程学正是利用这一特点对目标进行攻击的。

1.5.3利用社会工程学进行网络钓鱼

网络钓鱼( Phishing,，与钓鱼的英文单词fishing发音相近，又名钓鱼法或钓鱼式攻击)是通过发送大量声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息(如用户名、口令、账号ID、ATM PIN码或信用卡详细信息)的一种攻击方式。

最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计 与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这一攻击过程不会让受害者警觉。

网络钓鱼是社会工程学攻击的一种形式，是一种在线身份盗窃方式， 简单地说，它是通过伪造信息获取受害者的信任并且响应。由于网络信息是呈爆炸式增长的，人们面对各种各样的信息往往难以辨别真伪，依托网络环境进行钓鱼攻击是一种容易让人们上当的攻击手段。

在实际生活中常会遇到钓鱼事件，并且如此拙劣的手段仍能频频得手，主要是因为网络的鱼充分利用了人们的心理漏洞。首先，人们收到攻击者发送的影响力很大的邮件时，很多人都不会怀疑信件的真实性，而会下意识地根据要求打开邮件里面指定的URL进行操作。其次，页面打开后，通常不会注意浏览器地址栏中显示的地址，而只是留意页面内容，这正是让钓鱼者有机可乘的原因。

1.5.4社会工程学盗用密码

利用社会工程学获取密码的方法很简单，不需要其他的黑客工具便能办到，而且他的危害非常大。

利用社会工程学破解密码就是有针对性地收集被破解人的相关信息，并对其相关信息进行整理加工，以达到快速、高效地破解密码的目的。信息收集的方法有普通收集，就是对平常可见的信息进行系统地收集，越全面越好。另一个方法就是借助功能强大的搜索引擎，搜索他本人和相关人员的人名，从搜索结果中筛选有用信息加以整理和利用。比如，要破解某个人的账号密码，往往会收集关于他的信息，如姓名、生日、手机号、QQ号、家庭电话、学号、身份证号、家乡及其所在地的邮政编码和区号等。此外，还要收集他身边关系亲密人员的信息，如父母、女友等。将这些收集到的信息加上其他些常用的字母、 数字进行一定的排列组合组成一系列的密码，即密码字典。

密码字典主要是配合解密软件使用的，密码字典里包括许多人们习惯性设置的密码，这样可以提高解密软件的密码破解命中率，缩短解密时间。当然，如果一个人密码设置没有规律或很复杂，未包含在密码字典里，这个字典就没有用了。

如何利用收集的信息生成密码字典。“亦思社会工程学字典生成器”用于生成特定组合的密码字典，在相应位置输入相应的字符，并单击“生成字典按钮”，即可在同目录 下生成mypass.txt字典文件。

打开“亦思社会工程学字典生成器”软件，在主窗口左侧的“社会信息”栏中的相应文本框中输入收集到的信息。 单击“生成字典”按钮，即可生成一个名为mypass.txt的字典文件。打开该文件，即可看到该软件利用收集到的信息生成的密码字典。

信息填写得越准确，填写的项目越多，生成的密码字典中出现真实密码的可能性就越大。在填写时，相关的信息都可以填写，以增加破解密码的概率。

利用收集到的信息生成密码字典后，即可利用破解密码的程序一个一个地从生成的字典里读取可能是密码的字条，一个一个地试，直到找到正确的密码。