渗透中社会工程学：揭秘与防范
前言
本文将深入剖析渗透测试中的社会工程学，从原理、攻击类型、攻击流程、攻击手法，到最后的防范策略，带你全方位了解这一网络安全领域的特殊 “存在”。
一、社会工程学是什么
社会工程学（social engineering）并非单一学科，而是融合了社会科学、计算机科学、心理学以及经济学等多领域知识的交叉学科。它以理解和运用人类行为模式、社会互动规律为核心，旨在解决社会生活、经济发展以及公共安全等实际问题。
从网络安全渗透测试的视角出发，社会工程学聚焦于利用人性的弱点，以此获取有价值的信息。当渗透测试人员对目标系统缺乏必要了解时，社会工程学就成为了他们撬开信息大门的关键工具。毕竟，在任何组织的安全防护体系中，人往往是最容易被突破的薄弱环节，也是整个安全架构中最脆弱的部分。
追溯历史，社会工程学正式作为一门学科诞生于上世纪 60 年代左右，随后不断发展演变，衍生出公安社会工程学、网络社会工程学等多个分支，在不同领域发挥着独特作用。
二、社会工程学攻击类型
- 借口：攻击者常常伪装成特定身份或编造虚假背景故事，使目标对象相信他们有合理的理由分享敏感数据，或是执行可能危及安全的操作。这几乎是所有社会工程攻击中都会出现的关键要素。比如，攻击者冒充公司的 IT 技术人员，以系统紧急维护、需要验证账号安全性为由，要求员工提供账号密码。
- 诱饵：利用人们的好奇心或对利益的追求，攻击者抛出虚假的诱人承诺，以此骗取受害者的信任，进而窃取敏感信息，或者将恶意软件植入目标组织的系统中。就像在一些技术论坛或下载网站上，发布声称是最新版的破解软件、热门游戏等免费下载链接，而用户一旦点击下载并安装，就可能导致设备被恶意软件感染。
- 网络钓鱼：攻击者通过大量群发电子邮件，广撒网式地寻找目标，邮件内容通常包含恶意链接或附件，一旦用户点击，就可能导致敏感信息泄露。常见的如虚假的中奖通知邮件，告知用户中了巨额奖金，只需点击链接填写个人信息和银行账号，即可领取奖金。
- 鱼叉式网络钓鱼：与普通网络钓鱼不同，鱼叉式网络钓鱼更具针对性。攻击者会事先对特定的受害者进行详细的信息收集，然后伪装成受害者熟悉或信任的人，发送精心定制的钓鱼邮件。比如，攻击者了解到某公司员工与某供应商有业务往来，便冒充该供应商发送邮件，要求员工点击链接更新合作合同信息，从而获取敏感数据。
- 鲸鱼网络钓鱼：这是专门针对高价值目标，如企业高级管理人员、关键财务人员等的鱼叉式网络钓鱼。攻击者会花费大量时间和精力收集目标及其所在组织的详细信息，制定看似无懈可击的借口，诱导目标进行敏感信息访问或重要财务操作。例如，冒充公司董事会成员，要求财务人员紧急转账到指定账户。
- 语音钓鱼或网络钓鱼：这种攻击方式不再局限于电子邮件，而是通过语音呼叫或短信来实施网络钓鱼。接到自称银行客服的电话，以账户存在异常、需要验证信息为由，要求用户提供银行卡号、密码、验证码等重要信息。
- 商业电子邮件泄露（BEC）：网络犯罪分子入侵企业的商业电子邮件账户，然后冒充账户所有者，向其商业伙伴发送欺诈信息，诱使对方转账或提供敏感数据。比如，攻击者入侵了一家公司的采购部门邮箱，向供应商发送邮件，要求将货款支付到新的账户。
- 网络欺骗：攻击者在计算机或服务器中植入恶意代码，将用户的正常访问请求转移到恶意网站，或者诱骗用户主动访问有害网站。比如，用户在输入正确的网址后，却被自动重定向到一个仿冒的虚假网站，从而导致信息泄露。
- 尾随或捎带：在物理安全层面，恶意人员会紧跟在使用有效凭证通过安检的员工或授权人员身后，趁机进入原本受限的安全区域。在写字楼里，有人假装打电话，紧跟在刷卡进入大楼的员工后面，一同进入办公区域。
- 垃圾箱潜水：不法分子会在目标组织的垃圾桶中翻找，试图找到能够用于发起攻击的信息，废弃文件中的账号密码、客户名单、合同细节等。
三、社会工程学攻击过程
- 情报收集：渗透测试人员会运用各种高级搜索工具，收集目标公司员工的 Email 地址；通过社交网络平台，挖掘员工的个人信息，如兴趣爱好、工作经历、社交圈子等；识别目标单位所使用的第三方软件包，了解其版本信息和可能存在的漏洞；甚至参与目标组织的经营活动、社交聚会以及行业会议等，全方位收集信息，以此确定潜在的社会工程学 “线人”。
- 识别漏洞：在确定关键 “线人” 后，渗透测试人员会尝试与对方建立信任关系和友谊。在日常交流中，巧妙地获取目标单位的机密信息，同时，调查目标单位是否仍在使用存在安全隐患的旧版软件，一旦发现，便可以利用软件漏洞，通过恶意 E-mail 或恶意 Web 内容，感染目标人员的计算机。
- 规划攻击：根据前期收集到的情报，渗透测试人员会制定详细的攻击计划，选择直接攻击还是借助电子辅助技术进行被动攻击，并确定具体的攻击路径和方法。如果与目标单位的客户服务代表建立了良好关系，就可以尝试诱导其点击并执行发送的 E-mail 附件，从而植入恶意程序。
- 执行攻击：按照既定计划，有条不紊地实施攻击。在这个过程中，保持信心和耐心至关重要，同时要主动监控攻击的进展情况，并及时评估攻击成果。一旦攻击成功，渗透测试人员就可能获取到足够多的信息，为进一步深入渗透目标单位的内部系统奠定基础。
四、社会工程学攻击方法
- 冒名顶替：攻击者伪装成他人，骗取目标的信任。在钓鱼攻击获取目标人员银行信息时，攻击者会先收集目标人员常用的 E-mail 地址，然后精心伪造与原银行官方界面一模一样的网页，接着发送看似正式、专业的 E-mail，诱导目标人员点击链接，进入虚假网站更新账户信息，从而轻松获取目标提交的敏感信息。
- 投桃报李：通过给予对方一定的利益，来换取自己想要的信息或达成特定目的。这种攻击方式通常需要长期的业务合作，逐渐形成一种非正式的信任关系，然后利用这种信任，从合作公司那里获取敏感信息。
- 狐假虎威：攻击者冒充目标单位的业务负责人，对正常业务进行干预。利用人们对权威和高级管理人员的本能服从心理，使目标人员在没有过多思考的情况下，按照攻击者的要求行事，忽视内心的怀疑和否定直觉。
- 啖以重利：抓住人们追求利益的贪婪心理，攻击者提供一些看似难得的获利机会，诱使目标人员为了获取利益，而泄露重要信息，或者进行危险的操作。
- 社会关系：利用人对社会关系的需求，尤其是利用 “性” 这一容易被攻击的心理弱点。攻击者通过社交门户网站，利用异性的吸引力，与目标建立信任关系，在日常交流中，使目标在不经意间透露重要信息。
五、如何防范社会工程学攻击
- 钓鱼邮件防范：
- 看发件人地址：钓鱼邮件的发件人地址往往经过精心伪造，仔细查看发件人的邮箱域名、拼写错误等细节，就能发现一些蛛丝马迹。
- 看邮件标题：对于那些包含 “系统管理员紧急通知”“重要订单确认” 等极具诱惑性或紧迫性关键词的邮件，一定要保持高度警惕。
- 看正文措辞：如果邮件使用泛泛的问候语，如 “尊敬的用户”，并且营造出一种紧急、必须立即行动的氛围，就要格外小心。
- 看正文目的：正规的邮件不会随意索要邮箱登录账号和密码，如果收到此类要求的邮件，千万不要轻易提供。
- 看正文内容：对于包含 “&redirect” 等特殊字段的链接，以及垃圾邮件中看似可以退订的功能，不要轻易点击。
- 物理入侵防范：严格落实出入登记制度，对所有进入办公区域的人员进行身份核实，禁止陌生人员随意进入。
- 信息泄露防范：强化个人和公司员工对敏感信息的保护意识，不随意在不可信的环境中透露个人身份证号、银行卡号、公司商业机密等重要信息。
- 诈骗电话防范：对于未知来电，尤其是自称银行、政府机构等的电话，要提高防范意识，不要轻易相信对方的身份和说辞，可以通过官方渠道进行核实。
- 公共热点防范：在连接公共无线网络时，务必确认热点的真实性和可靠性，不要随意连接那些无需密码、名称模糊的未知热点。
- 共享资源防范：在共享文件、数据等资源时，要明确共享的范围和权限，避免敏感信息被过度传播。
- 环境渗透防范：在办公环境中，注意保护周围的敏感信息，文件不要随意丢弃，电脑屏幕不要在他人可轻易看到的情况下显示敏感内容。
- 钓鱼网站防范：在输入账号密码等重要信息前，仔细确认网站的真实性，可以通过查看网址的安全性标识、官方认证信息等方式进行判断。
- 钓鱼 U 盘防范：对于来历不明的 U 盘，不要随意插入计算机读取数据，防止 U 盘中的恶意软件感染设备。
- 总体防护：最根本的是要不断提高个人的信息安全防范意识，时刻保持警惕，不给攻击者留下任何可乘之机。
社会工程学在渗透测试中扮演着重要角色，深刻了解其原理、攻击类型、攻击流程和方法，熟练掌握有效的防范措施，是保障个人和组织网络安全的关键所在。无论是企业还是个人，都应当在日常工作和生活中，时刻绷紧网络安全这根弦，不断加强安全意识，以应对不断变化、日益复杂的社会工程学攻击威胁。