社会工程学ppt.pptVIP

社会工程学Social Engineering 一种让他人遵从自己意愿的科学或艺术 什么是社会工程学 ？ 社会工程学（Social Engineering），一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势。它并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样可能会被高明的社会工程学手段损害利益。 社会工程学的八种常用伎俩 1.十度分隔法 2.学会说行话 3.借用目标企业的“等待音乐” 4.电话号码欺诈 5.利用坏消息作案 6.滥用网民对社交网站的信任 7.输入错误捕获法 8.利用FUD操纵股市 1.十度分隔法 利用电话进行欺诈的一位社会工程学黑客的首要任务，就是要让他的攻击对象相信，他要么是1）一位同事，要么是2）一位可信赖的专家（比如执法人员或者审核人员）。但如果他的目标是要从员工X处获取信息的话，那么他的第一个电话或者第一封邮件并不会直接打给或发给X。黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远。 犯罪分子所用的方法很简单，就是奉承某个组织里更多可以接近的人，以便从职务更高的人那里获得他们所需的信息。 他们常用的技巧就是伪装友好. 2.学会说行话 每个行业都有自己的缩写术语。而社会工程学黑客就会研究你所在行业的术语，以便能够在与你接触时卖弄这些术语，以博得好感。 假如我跟你讲话，用你熟悉的话语来讲，你当然就会信任我。要是我还能用你经常在使用的缩写词汇和术语的话，那你就会更愿意向我透露更多的我想要的信息 .  3.借用目标企业的“等待音乐” 成功的骗子需要的是时间、坚持不懈和耐心。攻击常常是缓慢而讲究方法地进行的。这不仅需要收集目标对象的各种轶事，还要收集其他的“社交线索”以建立信任感，他甚至可能会哄骗得你以为他是你还未到这家企业之前的一位同事。 另外一种成功的技巧是记录某家公司所播放的“等待音乐”，也就是接电话的人尚未接通时播放的等待乐曲。 4.电话号码欺诈 犯罪分子常常会利用电话号码欺诈术，也就是在目标被叫者的来电显示屏上显示一个和主叫号码不一样的号码。 犯罪分子可能是从某个公寓给你打的电话，但是显示在你的电话上的来电号码却可能会让你觉得好像是来自同一家公司的号码。于是，你就有可能轻而易举地上当，把一些私人信息，比如口令等告诉对方。 5.利用坏消息作案 只要报纸上已刊登什么坏消息，坏分子们就会利用其来发送社会工程学式的垃圾邮件、网络钓鱼或其它类型的邮件 有大量的网络钓鱼攻击是和银行间的并购有关的，” “钓鱼邮件会告诉你说，‘你的存款银行已被他们的银行并购了。请你点击此处以确保能够在该银行关张之前修改你的信息。’这是诱骗你泄露自己的信息，他们便能够进入你的账户窃取钱财，或者倒卖储户的信息。” 6.滥用网民对社交网站的信任 很多人对一些社交网站十分信。而钓鱼欺诈瞄上了这类站点 ，就使很多人受到攻击。 用户们会收到一封邮件称：‘本站正在进行维护，请在此输入信息以便升级之用。’只要你点进去，就会被链接到钓鱼网站上去。 7.输入错误捕获法  犯罪分子还常常会利用人们在输入网址时的错误来作案，比如当你输入一个网址时，常常会敲错一两个字母，结果转眼间你就会被链接到其他网站上去，产生了意想不到的结果。 坏分子们早就研究透了各种常见的拼写错误，而他们的网站地址就常常使用这些可能拼错的字母来做域名。 8.利用FUD操纵股市 一些产品的安全漏洞，甚至整个企业的一些漏洞都会被利用来影响股市。根据Avert的最新研究报告，例如微软产品的一些关键性漏洞就会对其股价产生影响，每一次有重要的漏洞信息被公布，微软的股价就会出现反复的波动。 有一个例子表明，还有人故意传播斯蒂夫·乔布斯的死讯，结果导致苹果的股价大跌。这是一个利用了FUD（恐慌、不确定、怀疑），从而对股价产生作用的明显事例。  社会工程学攻击思路图 目标和攻击手段 　社会工程学的基本目标和其他黑客手段基本相同:都是为了获得目标系统未授权访问路径或是对重要信息进行欺骗，网络入侵，工业情报盗取，身份盗取，或仅仅是扰乱系统或网络。常见的目标包括电话公司和应答服务机构，著名的大公司和金融组织，军事和政府机构以及医院。 电话-社会工程学攻击 （1） 黑客可以伪装成是从某机构的内部打电话来欺骗PBX或是公司的管理员，所以说依赖于对打电话的人身份的确认并不是很安全的做法。以下就是一个Computer Security Institute曾经提到的典型PBX伎俩:“嗨，我是你的ATT维修员，我现在正在工作，但是需要你帮我按几个键。”　　还有更聪明一些的手段:“他们会在半夜打电话给你:“六小时之前你是不是打