利用社会工程学的渗透技术.pdfVIP

利用社会工程学的渗透技术 （何伊圣 蓝盾信息安全技术股份有限公司，广东广州，510665） Email ：akast@ 摘 要：介绍了在日常工作当中容易忽略又容易导致泄密的情形和地方，以及介绍了尾随、肩窥、Google hacking、P2P 等社工黑客常用的一些搜集信息的技术与非技术手段，最后提出一些相应的防御建议。 关键词：社会工程学；物理渗透；Google hacking；P2P； 中图分类号：TP 393 文献标识码：A Use of social engineering for penetration testing He Yisheng (Bluedon Information Security Technology Co., Ltd. Guangdong Guangzhou, 510665) Abstract : Introduced in the daily work easy to ignore and easy to lead to disclosure of the circumstances and the local ,and the introduction of the Tailgating, shoulder surfing, Google hacking, P2P , etc. some social engineering hackers used to collect information technology and non-technical means ,finally gives some ways to p revent social engineering hackers. Key words : Social Engineering ; Physical penetration ; Google hacking ; P2P ; 一、 引言 说到社会工程学，也许大家早已经听说过了大名鼎鼎的Kevin Mitnick 以及他的杰作 《The Art of Deception: Controlling the Human Element of Security》，在国内关于社会工程学的文章和书籍也不少了。但到 底什么是社会工程学，这个还真没找到一个对它比较完整的定义。使用社会工程学的人，可以称他们为演 员、骗子、投机者或者是社会工程师，但不管怎么评价他们，在今天利用社会工程学仍然是入侵系统最简 单的方法。 例如要渗透一个网络，通过技术手段要经过扫描端口、扫描漏洞、种植木马、获取加密密码、破解密 码等繁琐的步骤。而利用社会工程学的话，只需要打一个电话、再打一个电话、聊天、套取信息就搞定了。 当然，这样说起来似乎太简单了。但只要耐心去构思，你会发现这并不困难，虽然这么说，但我还不是社 会工程学的利用高手，下面给大家分享的，只是一些我所遇到的情形和个人心得。 二、垃圾中的信息 大家也许知道黑客能够通过计算机网络来获取机密数据，而且手段还非常多，但是大家有想过黑客不 用通过计算机网络就能获取你的数据呢？仔细想想我们每天往垃圾桶里扔了多少作废的个人或公司的相关 文件。也许大家平时工作中会觉得有一些文件无关重要，或者是已经过期很久就可以直接扔到垃圾桶了， 但是有没有想过正有人在等着你们扔垃圾呢。 通过垃圾泄漏信息最严重的高危期，我想应该是在公司搬迁的时候，或者是员工辞职的时候，我记得 公司之前搬迁办公室的时候，大家都只想着漂亮的新办公环境了，把自己重要的文件带走之后其他的就不 管了，搞的旧办公室满地都是各种各样的旧纸张，随手捡起一张都可能是客户信息或项目信息。还有一次 我吃完午饭后，当我要往楼梯间的垃圾桶里面扔垃圾时看到满垃圾桶都是各种各样的工作文件，我第一反 应这也太大意了吧，是哪位同事辞职了呢，当时楼梯间没什么人，我就往垃圾桶里面翻了翻，有很多纸张 和文件，其中一本工作笔记里面记着一些公司的会议记录、客户信息、项目信息、产品合作的信息„„， 有些本子里面还夹着一些刻录的光盘，这么重要的文件就这样往垃圾桶里面扔了，竞争对手千方百计想得 到的信息，就这么简单的从垃圾桶里面捡到了。 每个部门都要使用碎纸机这是我之前给老总的一些建议之一，我不是在给碎纸机做广告，它的确是很 重要