《社会工程学》由会员分享，可在线阅读，更多相关《社会工程学（23页珍藏版）》请在金锄头文库上搜索。
1、主讲人：蔡梦组员(PPT作者)：蔡梦、李胜蓝、彭彤欣目录 1.社会工程学攻击的定义 2.社会工程学攻击的特点 A.隐蔽性（举例说明） B.多样性（按技术划分、按冒充对象划分） 3.社会工程学攻击的防范这些年，随处可见黑客社会工程学攻击社会工程学攻击的定义 利用人的心理弱点、本能反应、好本能反应、好 奇心、信任、贪婪等心理陷阱奇心、信任、贪婪等心理陷阱来操 纵其执行预期的动作或泄漏机密信 息的一门艺术与学问。 简而言之，就是就是通过一切手段 让受害者自己泄密。社会工程学攻击的特点社会工程学攻击的特点2.多样性 攻击手段多种多样1.隐蔽性让受害者在不知不觉中泄密隐蔽性 在这个案例中，攻击对象为一家
2、公司的CEO。该 CEO防范意识很强，但是攻击者设法了解了这位 CEO有个家人与癌症作斗争，并活了下来. 就以此为突破口开始一系列活动。攻击者开始关 注癌症方面的募捐和研究，并积极投入其中。还 通过Facebook，获得了关于这位CEO的其他个 人资料，比如他最喜爱的餐厅和球队。 他掌握了这一手资料后，打电话给这位CEO，冒 充是他原来认识的癌症慈善机构的募捐人员，告 诉对方慈善机构目前正在做抽奖活动，奖品 除了他最喜欢餐厅的礼券外，还包括他最喜欢的 球队的比赛门票。 最后，那位CEO中招，同意让他发来一份关于募 捐活动更多信息的文档。黑客成功发送文档后没 多久，那位CEO就打开了文档，无形中
3、安装了一 个外壳程序，让黑客得以闯入他的电脑。 隐蔽性 由这个案例可看出，在社会工程学攻击中攻击者 会花很多心思，甚至很大代价（这要视欲获取资 料的价值而言），缓慢而讲究方法地进行活动， 投你所好，在你毫无防备的情况下，慢慢接近你 ，获取你的信任，从而让你在不知不觉中泄露信 息。 有时，攻击者第一个接近的目标不是目标对象本 人，而是目标对象的亲人、朋友，甚至是目标对 象朋友的朋友，总之，就是要找到合理切入点， 获得目标对象的信赖，以便获取信息。隐蔽性常用的攻击手段一.通过E-mail获取信息 在这种方式下，黑客会向你发送一些植入木马的植入木马的E E -mail-mail，一旦打开，就会碰到恶
4、意程序，感染病毒 。 这类邮件可能是一张你喜欢的照片，一个你需要 的共享软件，有些邮件甚至会装作发错对象，利 用你的好奇心，诱使你打开它。总之，这类邮件 会引导你去下载你想尝试的文件。 即使一次又一次被告知打开此类邮件的危险性， 还是有不少人上当。二.通过电话获取信息 打电话获取密码（黑客冒充失去密码的合法雇员， 通常用这种简单的方式可以获取到密码） 黑客还会通过电话号码来欺诈，让你误以为他所用 的电话号码是你的熟人电话或公司电话，从而获取 信任。三.聊天套用信息 黑客会通过询 问目标对象一 些貌似无关紧 要的信息，从 而破译密码。 我们在日常生 活中最喜欢使 用诸如生日、 昵称等 易破 译
5、密码四.通过垃圾文件获取信息 企业和单位甚至个人的垃圾箱里往往包含了大量 的信息。特别是废弃的硬盘（黑客可以对它进行 恢复信息处理）这些资源可以向黑客提供大量的 信息，最终帮助黑客顺利闯入被攻击者的计算机 网络。按黑客冒充对象分类黑客可以截取任何一个身份证，发送信息，从 而可以冒充技术支持、系统管理员、组织高层 人员、执法人员、第三方、客户等假冒技术支持案例黑客：你好，我是技术部的张涛你注意到你的系统变慢了吗 ？ 受骗用户：还好，似乎还不太慢。 黑客：我们看到网络速度下降很多 好的让我登录你的PC 上，测试一下你的机器。你的用户名是user，对吗? 受骗用户：是。一般来说，用户名与电子邮件地址
6、中的名称相同。比如， 如果电子邮件地址为。那 么在企业网络中的用户名很可能就是user。我们从大多 数企业网站中就可以轻易收集他们的电子邮件地址，于是 我们就可以轻而易举的推测出他们的用户名。黑客：很好，让我查一查你的口令，嗯，系统太慢了，你的 口令是多少？ 受骗用户：是ABC123 黑客：好，我进去了，似乎还不太坏。大概是没有受到同楼 层的影响。太好了，那我要继续查一下其他楼层的情况。 谢谢你的配合 受骗用户：谢谢你的帮助。总结 这个案例中，黑客冒充技术人员测试机器取得目 标对象的信任，获取目标对象的口令。现实生活 中，黑客可能会先通知目标对象一些虚假的负面 信息，让目标对象感到担忧、害怕，
7、再说帮助目 标对象“解决问题”，轻而易举地取得目标对象的 信任。 我们在生活中遇到类似问题一定要镇静，不要慌 ，多问几个为什么，核实对方的身份，再配合工 作。社会工程学攻击的防范 注重个人隐私保护，也不要轻易泄露个人的信息 对打电话、发送信息的对方一定要确认身份 勿随便留邮箱地址、勿打开来路不明的邮件、勿 在邮件中传递重要信息 最重要的一点：设置安全密码，不要用生日等易 破译密码设置安全密码不过，成年人的防范意识也不未必比青少年好很 多。一组高中生曾经想要进入一个公司的计算机 网络，他们拟定了一个表格，调查看上去显得无 害的个人信息，例如公司的员工配偶和孩子的名 字及生日。这些学生黑客说这些调查是为了他们的社会研究 工作。利用这份表格这些学生能够快速的进入系 统，因为大多数成年人的密码是他们的配偶或孩 子的名字拼音或生日。参考文献 http:/ 14a2b160b4e767fcf13.html http:/ 3e1551810a6f5248609.html http:/ 1102/244368.htm http:/ d3510661ed9ad51f34e.html http:/ 5/133353.html作者信息和分工情况 李胜蓝：收集资料、制作PPT 彭彤欣：收集资料、修改并美化PPT 蔡梦：对PPT内容进一步精简、上台展示
