社会工程学优秀实践作业选集.pdfVIP

攻击方法与过程： 首先，我们在问卷星上建立一个主题为“星座文化对当代大学生性格影响”的网上问 卷调查，并声称自己是北大心理系的学生。为加强伪装效果，我们自己首先填写了若干份有 效问卷，并决定用北大域名的邮箱发信。我们将自己的 PKU 邮箱地址分别改为 questionnairepsy@ 和 astro_psy@,分别作为发信邮箱，相应的修改发信 人为questionnairepsy 和astro_psy 。 我们利用Gooogle 搜索引擎，尝试获取攻击目标的姓名、邮箱等基本信息。开始时，我 们想要获得一些关于北大学生的信息，因此，我们在搜索框中输入：邮箱 姓名filetype:xls pku ， 结果返回众多包含姓名、邮箱信息的excel 文件（如图1 示）。其中，有一个链接指向XX 师 范大学，上面包含第十一届全国高校计算数学年通讯录。这引起了我们的兴趣。于是我们决 定从这份名单入手，展开攻击。 经过上述准备，我们从29 号早晨开始进行社会学攻击。 Figure 1 我们将获取的二百多个邮件地址以密送的方式群发，接下来就是守株待兔 在不到一个小时内，我们即收到了第一份问卷反馈。 信息显示，该用户通过 126 邮箱服务器链接登陆抽查页面的，IP 显示为XXXX 。我们在 通讯录内查找，女性，126 邮箱及所在院校位于XX ，最后锁定目标为：张XX ，XX 大学理学 院XX 系，Email:XXXXXX@126.com 。Google 到她为08 年春季入学博士，这与她所填写写的 年龄信息（XX 年）大致相符，因此，我们认定目标真实身份已得到确认。而从她回答问卷 的时间看（266 秒，而我们自己随意点击填写，用时大概在 80~100 之间），应该比较认真， 可信度较高。 从她填写的问卷信息中，我们得到如下所需信息 （经过匿名化处理）： 张XX ，女，XX 大学理学院XX 系 08 年春季入学博士 公历生日：19XX 年X 月XX 日， 星期五， 双子座 农历：X 年 X 月 XX 日 八字：癸亥 戊午 己巳 癸酉(大致19 时出生） 通过对第一份问卷的实际利用，我们发现，如果用户复制链接进入调查页面，我们将得 不到关于邮箱的任何信息，因而难以锁定目标。为此，我们修改问卷，在最后加上选填项“若 无不便，请留下您的Email 地址，我们将在汇总调查问卷结果后，把课题分析报告发送到您 的邮箱”。我们在学校BBS 上搜索得到一份关于十一组织去东城区浏览报名的名单，又发送 了出去。目前，问卷依然开放„„ 攻击心得： 在互联网特别是搜索技术不断发展的今天，我们几乎无处藏身，想要完全不泄露自己的 信息（邮箱地址等）是不可能的。在我们 google 目标的过程中，发现了许多可以说是悚目 惊心的现象。比如，有一家医院将病人体检结果放到了网上，不但有病人姓名和出生日期， 还有体检项目和相应结果，某技术学校将06 级学生学籍信息放到网上，其中还含有身份证 号的信息，我们还轻易获得了国外某大学在华招生奖学金候选人名单，信息量也相当之大。 而根据本人以往经验，问卷调查之类的方式，泄露的信息量不是很大，且往往是举手之劳， 有时真是很难拒绝填写，而各种公示（如评选奖学金、职称等）也往往必须给出相关人员的 出生年份甚至生日等信息，而这种情况很难对信息进行保护。因此，我们要提高警惕性，不 轻信各种宣传，以妨受骗上当；邮箱要有多个，分别用在不同重要性和安全性的场合，以减 少被攻击的可能性和风险性。另外，对于相关组织也要有起码的责任意识，主动保护好个人 的隐私，不使外人轻易得到。 上周六，在北京南锣鼓巷的喜鹊咖啡厅，我正在和几个朋友谈天说地，这时候听见了邻座的 一个美女正在打电话，在向朋友抱怨自己的Sony 笔记本如何不好用，无法使用无线链接。 本着一种社会责任感和普度众妹的信念，我便开始了向美女套话并修电脑的过程： 我：你好，能让我看下这个电脑么？ 美女：（费解）？ 我：别担心，我是学计算机的，你的问题应该很好解决。 美女：哦，那麻烦你了，我正在准备赶制稿件。 在重置无线连接后，wifi 顺利地连接上了，期间我们做了自我介绍。于是我继续追问下去。 我：你是在北京上学么？ 美女：不是，我是天津的，来这里要做一个采访。 我：咦？你电脑桌面是你自己么？ 美女：不是啊，这个是陈绮贞，一个歌手。 我：哇！你也喜欢陈绮贞啊！我也超喜欢的，不过你长得和陈老师真像！ 美女：哪有啊，陈老师也不戴