6.黑客心情日记之社会工程学
网络安全的心理战了解社会工程学的威胁
网络安全的心理战了解社会工程学的威胁在当今数字化时代，网络安全问题变得日益突出和复杂化。
不仅仅是技术层面的防护变得至关重要，心理战也成为了网络安全领域不可忽视的一环。
社会工程学作为一种攻击手段，对网络安全构成了威胁。
本文将介绍社会工程学的基本概念和常见攻击手法，并探讨如何加强心理防御以保护个人和组织的网络安全。
1. 社会工程学的定义和作用社会工程学是指以心理学和社会学为基础，通过影响人的行为、利用人的心理弱点和社交技巧，获取个人和机构私密信息的攻击手段。
与传统的技术层面攻击不同，社会工程学攻击主要针对“人”，借助人的弱点进行攻击。
社会工程学可以用于获取密码、账号、商业机密等敏感信息，也可以用于诱导用户打开恶意链接、下载有害软件等。
2. 社会工程学的常见攻击手法社会工程学攻击手法多种多样，攻击者多用心理诱导和社交技巧进行伪装，以达到获取信息或者影响受攻击者行为的目的。
以下是几种常见的社会工程学攻击手法：- 钓鱼邮件：攻击者通过伪装成合法的机构或个人，发送诱骗性的电子邮件，引诱受攻击者点击链接或者提供个人信息。
- 假冒身份：攻击者冒充他人身份，通过电话、社交媒体等方式与受攻击者进行互动，以获取敏感信息或者进行操纵。
- 尾随攻击：攻击者跟踪目标个人或者组织的成员，获取机密信息或者进入私密区域。
- 垃圾邮件：攻击者通过发送大量的垃圾邮件，诱使受攻击者点击恶意链接或者下载附件，进而感染其设备或者系统。
3. 如何加强心理防御以保护网络安全面对社会工程学攻击的威胁，个人和组织可以采取一系列措施加强心理防御，以保护网络安全。
- 教育培训：个人和组织应加强对社会工程学攻击的认识和了解，培养对潜在风险的警惕性。
提供网络安全培训，教育用户如何辨别和防范社会工程学攻击。
- 多因素认证：使用强密码、双因素认证等措施，增加攻击者获取个人信息的难度。
- 定期更新：及时更新个人和组织的操作系统、应用程序和安全软件，以修复漏洞和防范新的攻击手法。
黑客心理学--社会工程学原理
电子工业出版社地址：北京市万寿路南口金家村288号华信大厦
服务电话：010-88258888 88254114
001
随着技术与应用的拓展,信息化逐渐受到越来越多的 关注。为了更加深入地了解行业现状,为广大信息化参与 者开辟更多交流及展示行业的机会，《中国信息化》自
2017年9月起特设“信息化研究”栏目，并向信息化 从业者、管理者、倡导者公开征稿。
投稿须知: 1.内容包括信息化建设、思路、信息安全等 主题 的研究文章,1000~4000字为宜，只接受原创、首发稿 件。已发表在纸质期刊(杂志、报 纸)和电子媒体、公 共论坛上的文章均视作二手稿件。 严禁抄袭，抄袭事 实一经认证，将做严肃处理。 2.投稿时邮件主题处填写稿件标题，在文末附上 以下内容，要求准确无误。文章标题、作者姓名、联 系方式。 3.一次一稿，请勿一次多稿或重复投稿。 4.两个月内未收到采用通知的作者，可将稿件自 行处理,两个月内请勿一稿多投！(初审意见两周 内给出。)
本书可作为科普读物，普通读者从中 可了解如何对付黑客的社会工程学攻击方 法，安全专家也可据此填补信息安全保障 体系中的信息安全心理学这个空白，为今 后的攻防对抗打下坚实的基础。
书名： 《黑客心理学——社会工程学原理》 作者信息化》杂志是由工业和信息化部主管、电 子工业出版社有限公司主办、以推进工业化与信息化融 合为宗旨，以报道政府、行业和企业信息化的实践、方 法和战 略为主旨的全国发行杂志。《中国信息化》杂志 创刊于 2004年5月，经过14年的发展历程，已经成为中 国信息 化领域卓有影响的媒体。
2019.5.20 ichina
Book
书评
黑客心理学
——社会工程学原理
《黑客心理学》出自信息安全领域知名 专家、北京邮电大学教授、畅销书《安全简 史》《安全通论》作者杨义先，历时数载精 心制作，积淀安全知识之精华。
可怕的社会工程学
可怕的社会工程学最厉害威力最大的入侵不在于木马或者病毒，而在于系统本身。
我们知道，黑与防黑是一个永远的话题，黑客们“黑”的过程其实是一个发现漏洞并利用它的过程；而防黑则是通过发现被黑而发现漏洞并填补漏洞的过程。
正是由于因为黑与防黑，才促使得我们的网络更加安全。
我们使用最普遍的Windows 系统漏洞简直多如牛毛。
每一个星期左右Microsoft就要公布一次系统的最新漏洞,让用户去下载补丁.网上针对Windows系列系统漏洞的攻击.防范方法也是多如牛毛,可以在网上查到很多相关资料,在这里就不赘述了。
这里重点提的是一种防不胜防的不是漏洞的漏洞的漏洞,这就是－社会工程学。
几年前的一个早晨,一群陌生人走进了一家大型远洋运输公司并控制了该公司的整个计算机网络。
他们是怎么做到的?是通过从该公司的许多不同的员工那里一点点地获得帮助来达到目的的。
首先他们在实地踩点的两天之前已经对该公司进行了研究了解。
例如通过给人力资源部门打电话获得了公司重要员工的姓名列表。
然后他们在大门前假装丢失了钥匙让别人开门放他们进去。
最后在进入三楼的安全区区域时他们又故伎重演，这次他们丢失的是他们的身份证,而一名员工面带着微笑为他们开了门。
这群陌生人知道该公司的CFO(首席财务官)那时不在公司，所以他们进入了他的办公室并从他没有锁定的个人电脑中获取了财务信息。
他们将公司的垃圾推翻了个遍,找到了各种有价值的文档。
他们获得管理垃圾的门房的帮忙,使他们可以将这些东西带出了公司。
这些人同样学会了模仿CFO的声音,所以他们可以以CFO的身份打电话装作很着急的样子来询问网络密码。
自此，他们终于可以使用常规的黑客手段来获取系统的超级用户权限。
在这个案例中这些陌生人所扮演的角色是CFO请来对自己的计算机进行安全检查的网络安全顾问,而公司的员工对此都不知道。
他们可以在没有从CFO那里获得任何权利的情况下运用社会工程学让自己畅通无阻。
这是安全界一个极为著名的案例。
社会工程学与网络安全
社会工程学与网络安全社会工程学是一种旨在通过操纵人们的情感、欲望和行为，从而获取机密信息或者进行欺骗诈骗的技术。
随着信息技术的快速发展，网络安全已成为当今社会亟待解决的问题之一。
本文将探讨社会工程学对网络安全的威胁，并提供一些有效的防范方法。
1. 社会工程学的定义和原理社会工程学是一门涉及心理学、社会学和人类行为学的学科，旨在利用人们的心理和社会互动来获取或操纵信息。
它绕过了传统的技术手段，直接针对人的弱点进行攻击。
社会工程学的基本原理是利用人们的信任心理、好奇心和利益驱动，通过各种手段进行欺骗、诱导和控制，从而达到获取敏感信息的目的。
攻击者常常扮演成信任的人员或者欺骗目标，通过建立信任关系或者制造紧急情况来获取信息或执行特定操作。
2. 社会工程学对网络安全的威胁由于社会工程学直接攻击人的心理和社会行为，因此在网络安全中具有重要的地位。
以下是社会工程学对网络安全的主要威胁：2.1. 社交工程社交工程是一种利用人们在社交网络中随意分享个人信息的弱点进行攻击的方法。
攻击者可以通过收集和分析用户在社交媒体上发布的信息，了解到目标的个人信息、兴趣爱好、身份证明和联系方式等敏感信息。
这为攻击者进行钓鱼、身份盗窃等恶意活动提供了便利。
2.2. 钓鱼攻击钓鱼攻击是一种通过模仿合法机构或个人向用户发送虚假信息或链接的方式，骗取用户的个人信息、账户密码或者进行其他恶意操作的攻击手段。
攻击者通常通过电子邮件、社交媒体信息或者假冒网站等方式进行诱导，并借助用户的好奇心或者欲望来点击恶意链接或下载恶意文件。
2.3. 偷听和窃取机密信息社会工程学也可以通过偷听、窃取物理设备或者其他非技术手段，获取敏感机密信息。
攻击者可能会潜入办公室、会议室或者其他工作场所，利用偷听设备或者其他技术手段获取机密信息，从而对个人隐私或者商业机密构成威胁。
3. 社会工程学防范方法为了保护个人隐私和网络安全，我们可以采取以下措施来防范社会工程学攻击：3.1. 加强意识教育通过定期的网络安全培训和教育，提高人们对社会工程学攻击的认识和防范意识。
红客社会工程学
手，就可以给面包片抹上黄油”一类的机器，在理论 上是完全可以制造出来的，但工程师决不会制造这种 机器。
从相互包含的角度来说，科学家可能也需要完成某 工程作业（比如设计试验仪器，制造原型），工程师 经常也要做研究。
从目的的先后顺序来说，可以说科学家为了学习而制 造，而工程师为了制造而学习。
从工程和科学都要做的研究来说，工程学上的研究与 科学研究也有不同之处。它经常涉及到的领域，基本
话，不妨去模仿她心目中的男孩。 再谈一下伪装的要点，任何情况不不要泄露自身的真实信息。或许我们会碰到一些意外事
件，所以，在开始准备的时候，带上一张没有多少余额的手机，用完后就别再用了，这样可免 遭怀疑。还有比如通讯账号 QQ，永别使用自已的 QQ，最好为自已准备一个信封，目标信息拿到 后，将对方拖入黑名单。
即使有了严格的检测和许可证发给，工程灾难还是会 发生。因此专业工程师严守伦理学标准。每个工程学 科和专业组织，都持有论理学标准，成员发誓遵守维 护。
工程学的基础学科 工程数学 工程控制论 工程力学 工程物理学 工程地质学 工程水文学 工程仿生学 工程心理学 工程概算 标准化学 计量学 工程图学 工业工程学 可拓工程
三、人性的弱点 每个人都有心理弱点，没有人永远没有心理弱点。可以说，此部分是社会工程学重要的部 分，他们能够利用人们的信任、乐于助人的愿望和同情心使你上当。那么，我们应该怎样去发 现这类弱点呢?很简单，我们只要构造一个精心的问题，冒称他们的同事，设计一个帮助他们解 决一个问题，那么，对方便会信任我们了，我们会更轻松获得想要的信息，而且更不容被发现。 菜鸟们一定经常有很多问题吧，但他们总是茫目的去找一个人帮助，或是想认一个师父，我有 个这样的经验，一个晚上我收了 50 个徒弟，然而只是开了一个玩笑，我的方法很简单，直接在 Google 搜索：本人找师父，或在 qihoo 搜索：找师父。然后帮助他们解决一个问题，两三句话 便获取了他们的信任，有的还打算花钱请我，但我告诉他，只是开了一个玩笑，这个实例利用 了他们对帮助的人信任。此部分最具危害性，所以我进行分开来讲，请参照社会工程学--心理 学应用。
黑客电影与社会工程学 (2)
天津理工大学计算机与通信工程学院实验报告2013 至2014 学年第 1 学期黑客电影与社会工程学当我们谈论黑客攻击时，尤其是在如今这个时代，我们经常能够从媒体那里听到黑客是如何入侵数据库并窃取信息等等相关的新闻消息，我们总是喜欢谈论这些故事。
有关黑客以及黑客技术的报道，总是环绕在我们耳边。
比如蠕虫攻击系统的恶意代码、信息丢失等等。
但是在这些社会报道中很少能听到关于社会工程学这类的攻击事件，但社会工程学在黑客攻击当中却起到了巨大的作用。
说实话，虽然是学习信息安全的学生，但是在此之前我还真的没有看过相关黑客的电影。
为了这次的作业，我特意上网看了《剑鱼行动》这部电影。
加布里尔·希尔是一个在江湖闯荡多年的间谍特工，他妄想建立一个属于自己的极端爱国主义组织。
为了储备招兵买马所需要的资金，他决定冒险闯入网络空间，窃取一笔高达几十亿美金的基金。
希尔需要一个顶级电脑黑客帮助，他盯上了斯坦利吉森。
斯坦利曾是世界上那个最顶尖的电脑黑客之一，他将FBI计算机监视系统高了个天翻地覆，他也为此坐牢。
加布里尔请来斯坦利帮忙，斯坦利答应铤而走险，于是两人开始了一场惊天地的阴谋。
下面分析一下这部电影里的社会工程学。
斯坦利和加布里尔走进了公司并控制了该公司的整个计算机网络的情节。
他们是怎么做到的呢？是通过从该公司的许多不同的员工那里一点点的获得帮助来达到目的的。
首先，他们在实地踩点的两天之前已经对该公司进行了研究了解。
例如，通过给人力资源部门打电话获得了公司重要员工的姓名列表。
然后，他们在大门前假装丢失了钥匙让别人开门放他们进去。
最后在进入三楼的安全区域时他们又故伎重演，这次他们丢失的是他们的身份标志，而一名员工面带微笑的为他们开了门。
他们知道该公司的CEO那时不在公司，所以他们进入了他的办公室并从他没有锁定的个人电脑中获取了财务信息。
他们将公司的垃圾堆翻了个遍，找到了各种有价值的文档。
他们获得管理垃圾的门房的帮忙使他们可以将这些东西顺利的带出了公司。
黑客心理学——社会工程学原理
与安全密切相关的心理因素（4）
气质与安全：有些工作，比如，个性化较强的 OA类开发，需要反应迅速、动作敏捷、活泼好 动、善于交际的人去承担。有些工作，比如， 软件漏洞检测等，则需要仔细的、情绪比较稳 定的、安静的人去做。等
个性对不安全行为的影响：主要表现在两方面 ：1），态度的影响。第2），动机的影响。
情绪、情感与安全：积极情绪，可加深安全重 要性认识，具有“增力作用”，能激发安全动 机，采取积极态度。而消极情绪，会使人带着 厌恶的情感去看待安全，具有“减力作用”， 采取消极的态度，从而容易引发不安全行为。
灾备技术国家工程实验室 11
与安全密切相关的心理因素（3）
意志与安全：意志对安全行为，起着重要的调 节作用，主要是：合理控制情绪，克服不利于 安全的心理障碍，并调动有利于安全的心理因 素，坚持不懈地实现安全目标。
灾备技术国家工程实验室 8
黑客的动机、着眼点、机会
从心理学角度看，黑客行为的动机，主要基于 如下几种心理：
自我表现心理、好奇探秘心理、义愤抗议心理、戏 谑心理、非法占有心理、渴望认同心理、自我解嘲 心理、发泄心理等
反过来，黑客发动攻击时，又利用了被害者的 哪些心理呢？归纳起来，至少有如下几种：
，情绪起伏波动很大，受情绪影响长时间不易平静 第4），心境抑郁，浮躁不安者 第5），马虎、敷衍、粗心 第6），危急关头，惊慌失措、优柔寡断、鲁莽行事 第7），感知、思维、运动迟钝、不爱活动、懒惰者 第8），懦弱、胆怯、没主见者。
灾备技术国家工程实验室 10
与安全密切相关的心理因素（2）
能力与安全：只有当能力与任务难度匹配时， 才不容易出现安全问题。思维能力强的人，在 面对重复的、一成不变的、不需动脑筋的简单 操作时，就会感到单调乏味；从而埋下安全隐 患。反之，能力较低的人，在面对力所不及的 任务时，就会感受到无法胜任，甚至会过度紧 张；从而，也容易引发安全问题。
黑客社会工程学攻击手段全解析
黑客社会工程学攻击手段全解析黑客攻击用户常见的方法包括恶意钓鱼攻击、网页挂马攻击、社会工程学攻击及渗透攻击等多种方式。
在前两期中我们介绍了关于恶意钓鱼攻击和网页挂马攻击的相关手段，本期我们将对黑客社会工程学攻击方式进行分析和描述，并结合实际案例分析提出可行有效的防范方法。
社会工程学攻击是一种通过对被攻击者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱所采取的诸如欺骗、伤害等危害手段，获取自身利益的手法。
黑客社会工程学攻击则是将黑客入侵攻击手段进行了最大化，不仅能够利用系统的弱点进行入侵，还能通过人性的弱点进行入侵，当黑客攻击与社会工程学攻击融为一体时，将根本不存在所谓安全的系统。
黑客社会工程学是非传统的信息安全，它不是利用软件或系统的漏洞实现入侵的，个人用户或企业用户经常会通过安装硬件防火墙、入侵检测系统、虚拟专用网络或者其他安全软件产品的方式进行防护，但是这些并不能完全保障安全。
黑客通过社会工程学攻击的方式只需要拨打一个电话，使用专用的术语，报出内部人员使用的账号信息，就可以让一个系统管理员登录系统，并通过电子邮件等方式发送过来即可获取信息。
事实上，很多此类安全事件的发生就是出现在骗取敏感信息管理员或拥有者的信任，从而轻松绕过所有技术上的防护，实现恶意攻击的目的。
常见黑客社会工程学攻击方式随着网络安全防护技术及安全防护产品应用的越来越成熟，很多常规的黑客入侵手段越来越难。
在这种情况下，更多的黑客将攻击手法转向了社会工程学攻击，同时利用社会工程学的攻击手段也日趋成熟，技术含量也越来越高。
黑客在实施社会工程学攻击之前必须掌握一定的心理学、人际关系、行为学等知识和技能，以便搜集和掌握实施社会工程学攻击行为所需要的资料和信息等。
结合目前网络环境中常见的黑客社会工程学攻击方式和手段，我们可以将其主要概述为以下几种方式：1. 结合实际环境渗透对特定的环境实施渗透，是黑客社会工程学攻击为了获取所需要的敏感信息经常采用的手段之一。
黑客惯用的社会工程学手法
黑客惯用的社会工程学手法：1. 十度分隔法利用电话进行欺诈的一位社会工程学黑客的首要任务，就是要让他的攻击对象相信，他要么是1)一位同事，要么是2)一位可信赖的专家(比如执法人员或者审核人员)。
但如果他的目标是要从员工X处获取信息的话，那么他的第一个电话或者第一封邮件并不会直接打给或发给X。
在社会心理学中，六度分隔的古老游戏是由很多分隔层的。
纽约市警察局的一位老资格探员Sal Lifrieri，如今正定期举办一个叫做"防范性运营"的企业培训课程，教授如何识别黑客穿透某个组织的社会工程学攻击手段。
他说，黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远。
"我讲课时不断地在告诫人们，多少得具备一些放人之心，因为你不知道某人到底想从你这儿获得什么，"Lifrieri说。
渗透进入组织的起点"可能是前台或门卫。
所以企业必须培训员工彼此相识。
而作为犯罪起点的秘书或者前台距离犯罪分子真正想接近的目标有可能隔着十层之远。
"Lifrieri说，犯罪分子所用的方法很简单，就是奉承某个组织里更多可以接近的人，以便从职务更高的人那里获得他们所需的信息。
"他们常用的技巧就是伪装友好，"Lifrieri说。
"其言辞有曰：‘我很想跟您认识一下。
我很想知道在您的生活中哪些东西是最有用的。
'然后他们很快就会从你那里获得很多你原本根本不会透露的信息。
"2. 学会说行话每个行业都有自己的缩写术语。
而社会工程学黑客就会研究你所在行业的术语，以便能够在与你接触时卖弄这些术语，以博得好感。
"这其实就是一种环境提示，"Lifrieri说，"假如我跟你讲话，用你熟悉的话语来讲，你当然就会信任我。
要是我还能用你经常在使用的缩写词汇和术语的话，那你就会更愿意向我透露更多的我想要的信息。
"3. 借用目标企业的"等待音乐"Lifrieri说，成功的骗子需要的是时间、坚持不懈和耐心。
17黑客 社会工程学攻击的八种常用伎俩
十度分隔法黑客社会工程学攻击的八种常用伎俩著名黑客KevinMitnick在上世纪90年代让“黑客社会工程学”这个术语流行了起来，不过这个简单的概念本身（引诱某人去做某事，或者泄露敏感信息）却早有年头了。
专家们认为，如今的黑客仍在继续采用黑客社会工程学的新老伎俩盗窃密码、安装恶意软件或者攫取利益。
此处所列的是一些最流行的利用电话、email和网络的社会工程学攻击伎俩。
1.十度分隔法利用电话进行欺诈的一位社会工程学黑客的首要任务，就是要让他的攻击对象相信，他要么是1）一位同事，要么是2）一位可信赖的专家（比如执法人员或者审核人员）。
但如果他的目标是要从员工X处获取信息的话，那么他的第一个电话或者第一封邮件并不会直接打给或发给X。
在社会心理学中，六度分隔的古老游戏是由很多分隔层的。
纽约市警察局的一位老资格探员SalLifrieri，如今正定期举办一个叫做“防范性运营”的企业培训课程，教授如何识别黑客穿透某个组织的社会工程学攻击手段。
他说，黑客在一个组织中开始接触的人可能会与他所瞄准的目标或人隔着十层之远。
“我讲课时不断地在告诫人们，多少得具备一些放人之心，因为你不知道某人到底想从你这儿获得什么，”Lifrieri说。
渗透进入组织的起点“可能是前台或门卫。
所以企业必须培训员工彼此相识。
而作为犯罪起点的秘书或者前台距离犯罪分子真正想接近的目标有可能隔着十层之远。
”Lifrieri说，犯罪分子所用的方法很简单，就是奉承某个组织里更多可以接近的人，以便从职务更高的人那里获得他们所需的信息。
“他们常用的技巧就是伪装友好，”Lifrieri说。
“其言辞有曰：‘我很想跟您认识一下。
我很想知道在您的生活中哪些东西是最有用的。
’然后他们很快就会从你那里获得很多你原本根本不会透露的信息。
”2.学会说行话每个行业都有自己的缩写术语。
而社会工程学黑客就会研究你所在行业的术语，以便能够在与你接触时卖弄这些术语，以博得好感。
“这其实就是一种环境提示，”Lifrieri 说，“假如我跟你讲话，用你熟悉的话语来讲，你当然就会信任我。
最大的风险来自社会工程学
最大的风险来自社会工程学1. 信息泄漏：社会工程学者可以利用欺骗手段来获取他人的个人信息，包括密码、账户信息和敏感文件。
这些信息可能被用来进行身份盗窃、电信诈骗或利益滥用等恶意行为，给个人和组织带来严重的危害。
2. 金融欺诈：社会工程学可以用于诱骗人们透露财务信息，包括银行账户、信用卡号码和交易密码等敏感信息。
骗子可以利用这些信息进行盗窃、欺诈和针对个人或企业的金融诈骗，造成巨大的经济损失。
3. 偷窥和骚扰：社会工程学有时也可以用于偷窥他人的隐私，追踪他们的动向和行踪，并对其进行骚扰。
这可能导致受害者感到不安、恐惧和疑虑，对其心理和情感健康产生负面影响。
4. 网络攻击：社会工程学也用于网络攻击中，如通过钓鱼邮件、虚假网站和木马程序等手段欺骗用户，使他们暴露个人信息或下载恶意软件。
这可能导致个人电脑和网络系统被黑客入侵，造成数据丢失、信息破坏和隐私泄露等问题。
5. 心理操纵：社会工程学可以通过操纵他人的情绪、价值观和信仰来影响他们的决策和行为。
这可能导致个体做出不理智的决策，甚至被迫参与非法或有害的活动，对自身和社会造成危害。
为了应对这些风险，个人和组织可以采取一系列措施，如提高安全意识、加强密码保护、警惕可疑邮件和网站、定期更新软件和系统等。
此外，政府和相关机构也应加强法律法规的制定和执行，加强社会工程学的监管和打击，以确保公民和企业的信息安全和隐私保护。
社会工程学作为一种心理操纵和欺骗的手段，正日益成为网络犯罪和信息安全领域的一大威胁，给个人、组织和整个社会带来了巨大风险。
虽然社会工程学有时可以帮助我们更好地沟通、建立信任关系，但在恶意人士手中，它却成为了一种隐形的杀手。
为了应对这一威胁，我们需要深入了解社会工程学的工作原理、常见手段以及相应的防范措施。
社会工程学主要通过操纵人们的行为和心理状态来达到其目的。
利用人们的弱点、恐惧、好奇心和利益诱惑等，社会工程师可以通过各种伪装和欺骗手段，获取他人的敏感信息，如密码、账户信息、信用卡号码等。
社会工程学
社会工程学与网络信息安全
社会工程学与网络信息安全社会工程学是一种攻击目标的技术，它通过利用人类的社会和心理特征，来获取到目标系统的机密信息。
而网络信息安全是指在网络环境下，对信息进行保护和防范的一系列技术和措施。
本文将探讨社会工程学对网络信息安全的威胁，并提出相应的应对策略。
1. 社会工程学概述社会工程学始于二十世纪五十年代，起初用于分析人类行为和社会动力。
然而，随着信息技术的高速发展，它在网络安全领域中的应用也日益广泛。
社会工程学通过与人的交流、获取背景信息以及操纵人的心理，来获取机密信息或者进行非法活动。
2. 社会工程学在网络信息安全的威胁社会工程学对网络信息安全构成了严重的威胁。
攻击者可以利用社会工程学技巧，欺骗用户提供个人账户、密码等敏感信息，然后利用这些信息进行非法活动。
此外，社会工程学还可以在组织内部渗透，获取机密文件或者企业机密。
3. 社会工程学的攻击技巧社会工程学运用了多种攻击技巧，以下是其中一些常见的技巧：（1）钓鱼：攻击者通过伪造的电子邮件、短信或者网站页面等，来引诱用户获得其敏感信息。
（2）身份冒充：攻击者冒充他人身份，通过说服和欺骗，获取到目标的机密信息。
（3）入侵社交网络：通过追踪目标的社交网络活动，攻击者可以收集大量个人信息，并利用它来进行攻击。
4. 应对社会工程学的策略为了增强网络信息安全，我们必须采取一系列措施来应对社会工程学的威胁：（1）教育培训：加强对用户的安全意识教育，并提供有关社会工程学攻击技巧和防范的培训。
（2）多重认证：采用多因素认证机制，确保用户身份的准确性，降低被攻击的风险。
（3）强化密码策略：设立复杂的密码要求，并定期更改密码，以防止被社会工程学攻击者破解。
（4）强化信息保护措施：加密存储敏感数据，限制访问权限，并定期更新安全软件来应对新的攻击方式。
（5）建立安全文化：组织内部应加强安全意识，建立安全文化，确保员工对社会工程学的威胁有足够的认识。
5. 结论社会工程学攻击是网络信息安全面临的一个严重威胁。
社会工程学的书籍
社会工程学的书籍社会工程学是一门研究如何通过人的心理和行为来实现个人目的的学科。
它主要探讨如何利用人类的社会化特点来进行欺骗和操纵，以达到个人或组织的目标。
在社会工程学的研究中涉及到许多技巧和策略，其应用范围十分广泛，如信息安全、社会心理学、销售等领域。
以下是一些关于社会工程学的书籍推荐：1.《社会工程学：艺术与科学》(The Art of Human Hacking) -作者Christopher Hadnagy本书是社会工程学领域的经典之作，着重介绍了人际交往、社会心理学和非语言沟通等方面的知识，并结合实例和案例，探索如何进行社会工程学攻击与防御。
适合初学者和想要了解社会工程学原理的读者。
2.《影响力：心理学与社会工程学的选择》(Influence: The Psychology of Persuasion) - 作者Robert B. Cialdini这本书不仅仅是关于社会工程学的介绍，而是深入研究了人类心理和行为的方方面面。
作者列出了六大影响力原则，并提供了许多实际案例和技巧，让读者了解如何利用这些原则来达到自己的目标。
3.《社会工程学手册：如何识破身份窃贼、欺诈师和骗子》(The Social Engineering Playbook: A Practical Guide to Pretexting) - 作者Jeremy Martin本书主要关注如何防范社会工程学攻击。
作者详细介绍了社会工程学的原理、策略和技巧，以及如何识别和应对不同的欺骗手段。
适合那些想要保护自己和他人不受社会工程学攻击的读者。
4.《欺骗艺术》(The Art of Deception: Controlling the Human Element of Security) - 作者Kevin D. Mitnick, William L. Simon这本书来自计算机安全专家Kevin Mitnick，他利用自己的黑客经验，揭示出了人类是信息安全的最弱环节。
黑客心理学——社会工程学原理
灾备技术国家工程实验室 1
《安全通论》的大目标
开天辟地生易经， 合纵连横信息论； 安全世界诸侯乱， 谁成一统谁成神！
灾备技术国家工程实验室 2
《安全通论》的科普副产品
灾备技术国家工程实验室 3 3
灾备技术国家工程实验室 16
黑客攻击行为的非本能说（1）
非本能说之“挫折理论”认为：攻击来源 于挫折。
挫折理论对网络安全的启发至少有：无论 如何，都不要在网络中激发不必要的矛盾 ，更不要使任何人遭受不必要的挫折，这 样便可大幅度地减少黑客的攻击行为。看 来，构建和谐的网络社会，对信息安全也 是很有利的嘛。
恐惧心理、服从心理、贪婪心理、同情心理等
引发红客和用户不安全的心理因素，主要有：
省能心理、侥幸心理、逆反心理、凑兴心理、群体 心理、注意与不注意
灾备技术国家工程实验室 9
与安全密切相关的心理因素（1）
性格与安全：下面8种性格，不利于安全：
第1），攻击型性格。 第2），性情孤僻、固执、心胸狭窄。 第3），性情不稳定，易受情绪感染支配，易于冲动
灾备技术国家工程实验室 25
社工黑客攻击群体的思路（1）
社工黑客只需要从信息的角度去观察“群 体”，而没必要像心理学家那样去全面考 虑“群体”。
如果组成某群体的个体之间，完全隔离， 即，群体成员彼此没有任何信息的交往； 那么，黑客便可把这种群体，看成一些独 立的“热血电脑”的堆集。既可以独立地 ，分别攻破这些“热血电脑”；又可以找 出他们的共同特点，然后“一箭多雕”。
灾备技术国家工程实验室 23
社工黑客如何看待个体（2）
社工将人看“电脑”，由四部分组成：
网络安全中的社会工程学
网络安全中的社会工程学社会工程学(Social Engineering)，一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段，取得自身利益的手法，近年来已成迅速上升甚至滥用的趋势。
那么，什么算是社会工程学呢?它并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样可能会被高明的社会工程学手段损害利益。
引狼入室李小姐是某个大公司的经理秘书，她工作的电脑上存储着公司的许多重要业务资料，所以属于公司重点保护的对象，安全部门设置了层层安全防护措施，可以说，要从外部攻破她的电脑那简直是”Impossible Mission”。
为了方便修改设置和查杀病毒，安全部门往往直接通过网络服务终端对李小姐的电脑进行全面设置。
也许是为了贪图方便，维护员与李小姐的日常联系是通过QQ进行的。
这天，李小姐刚打开QQ就收到维护员的消息：”小李，我忘记登录密码了，快告诉我，有个紧急的安全设置要做呢!”，因为和维护员很熟了，李小姐就把密码发了过去。
然而第二天，竟然发生了令人意想不到的事情：一夜之间，公司的主要竞争对手掌握了公司的业务，在一些重要生意上以低于公司底价的竞争手段抢去了大客户，令公司蒙受了损失!经过调查，才知道是公司的业务资料被对方拿到了，公司愤然起诉对手，同时也展开了内部调查，李小姐自然成了众矢之的。
在一番仔细的调查之后，问题的焦点集中在那条”网络维护员”发送过来的要求修改密码的QQ消息上。
维护员一再声称自己没发过那样的消息，但是电脑上的记录却明明白白地显示着信息接收记录。
随着警方的介入以及犯罪嫌疑人的招供，一宗典型的”社会工程学”欺骗案件浮出水面。
李小姐正是出于对”维护员”的信任，所以被对方欺骗了。
因为那个在QQ上出现的维护员根本不是公司真正的维护员本人，而是对手盗取了维护员的QQ，再利用一个小小的信任关系，就轻易取得了登录密码，公司的业务资料自然落入对方手中。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
来源：toinet' blog 作者：toinet
又是一个美好的周末，老婆约了同事出去玩了，就留我一个人猫在家里玩电脑。
大概7点多钟，正在逛着论坛，QQ突然传来一阵‘滴滴’声，平常我都是隐身状态，而且不爱聊天，纳闷着的我打开消息一看，HOHO，一个小男孩加我。
我们在这里暂且称呼他为a吧，资料上写的是来自山东，19岁。
“在吗？想跟你聊聊！”-------a发出了加为好友的邀请，
“不在”，
“不在？不在你怎么说话的！”------a似乎还有点幽默感，仍然坚持着。
“你有什么事？”我依然在拒绝加入的框框里
回复着他。
“这样太不方便拉，我有些事情想跟你说，真有
事”…….他还急了。
“就这样说吧，我这里回复你不是很麻烦！”嘿嘿一笑，继续看着黑防被黑的帖子。
“你把我网站给黑了，我要拿回来。
你先加我QQ 再说”…….a的话好象不太客气了
不开玩笑了，我心里一紧，nnd，从来没有改过别人的网页啊，顶多也就是拿个webshell，试试我的新木马能不能免杀。
这不至于被人发现了吧，反正应该没什么事，加了他再说。
“你刚才说什么？”至少我觉得没理由啊，即使我在他网站上种了马，或者试过新的asp木马，他也不可能知道是我做的啊！tmd，搞的我紧张西西，看来没有好心情去体会这个安逸的周末了。
“我的网站被你黑了，，你在我的后门上留了QQ，所以我过来找你了”。
…..a 说的理直气壮，小犬参拜‘人民公厕’时的理由
跟他一样充分。
呵呵，看着他发过来的消息，我哭笑不得。
原来，今天下午在对我的webshell 例行检查的时候，图（一）
居然发现这个网站下居然还有个莫名的asp 文件，打开一看，靠啊，是个asp木马。
图（二）
看来是个小菜，直接从网上下的站长助手6，除了改过名字和密码，什么也没动！username
一栏填的是“1987”，密码那里往下应该是用SCRENC.EXE加过密，一堆乱玛。
想着好笑，在
ie地址栏把我的马换成了他的马，连接，登陆框出来了，填入“1987”，回车。
进去了（社会工程学）~~~那还有什么说的，直接把木马内容删
除了，同时留下了我的QQ。
图（三）
“你是站长？”我一头雾水。
“是啊，那个站长助手是我朋友帮我装上去的，方便我远程管理。
你们平时不都是这样做的吗？”
“哦，”我老脸一红“我还从来没有建过站了”
“现在不管了，你把那个站长助手还给我啊，”“你不是吧，自己去搞，大不了以后我不碰你了”
“都跟你说了，是我朋友帮我装的，用那个后门管理挺方便的。
那朋友出差了，都不知道什么时候能回，你既然能改成这样拉，那你也能给我复原了。
”…….a的口气越来越严厉了，我甚至可以联想出他的模样和电影里的小太君完全是一
个模子里刻出来的。
唉，怎么说了，反正是自己做的了，这种小事真没必要再去冤枉其他人，犯不着说是别人故意留的我QQ，来栽赃嫁祸吧。
“ok，哥们答应你了，等会给你还原。
”一个小站，我还没放在眼里。
down一个站长助手，加密，还是他的
username和password，哈，1987，好垃圾的密码。
还真是个小菜。
用我的后门上传，试了一下连接，跟我下午操作时一模一样，连asp木马的文件名都改成了他那原来的模样。
5分钟后，一切搞定，随即在QQ里通知他完工了。
多么可怜的周末啊，就这样被个小菜给毁了，继续看我的帖子吧！。
要说故事到这里本没什么希奇的，相信大家可能都会碰到类似的事情，可是，正是有着他的不寻常，才有了这个故事的标题：社会工程学。
就让我带着读者继续吧。
依旧在网上晃悠着，转眼都11
点了，正要关电脑准备睡觉的时候，QQ又是一阵吵闹，又有人加我了。
深更半夜谁那么无聊啊。
“有事找你聊聊”，我打开资料介绍，男，22岁，地址来自福建，我们称他为b吧
“都是男人有什么好聊的”我拒绝了
“你黑了我的站，，为什么？”
“有没有搞错啊”我一下子愤怒起来，“什么鸟站，还这么多管理员跑过来嚷嚷，不都已经帮你们把后门给改过来了吗？还让我怎么样？我都说过以后再不碰你们了。
”我的忍耐力终于不是那么完善，手指和键盘急速撞击产生的刺耳噪音顿时将我的房间充斥。
余怒未消，“还亏我把你们站的漏洞补了又补，现在你们说一声我就走人了，你们还想怎么样？再说了，不就是装了一个木马吗？我还没装远程控制了，凭这就说我黑了你们的站？你们是不是有毛病啊！”
“我不知道你在说什么，你可以去看看主页。
最好能给我个交代，要不然我就报警。
”这丫的也不含糊。
“操，懒的理你，娘西皮的！”我终于没好气了，跟这种人犯不着生气，何况我都一把年纪了。
今天真是郁闷透了，去看看怎么回事也好。
连上我的木马。
晕，居然还在，看来那小子还真是个菜鸟，这样都找不到我的马儿，只不过他之前安装的那个马也没了，估计是换了名字。
除此以外，这站看起来一切正常。
另开一个窗口，再来看看他的主页。
我终于明白《大腕》里的葛优为什么能一下子就疯掉了，在我眼前出现的IE 里，显示出来的是我们大家都非常熟悉的‘黑客帝国’场景，而非是原来的主页，‘我的QQ’四个猩红的大子后面跟出来的数字竟然是我的号码。
TMD，我被那小子骗了。
现在最急迫的事情就是修复好b的网站了，其他的以后再说。
是男人就不能在同一个坑再栽下去，在QQ 上得到b的ip，然后ping一下网站，返回的结果和bQQ的ip 一致。
可以说明一点问题，但还是不保险。
反正自己的webshell还在，一切都
还简单。
再次连上我的asp木马，传cmd.asp和鸽子上去，运行鸽子服务器，然后远程桌面，b
的屏幕出现在我的眼前，看见了他的QQ上有我，正准备给我发送信息了，毋庸质疑，确定b就是管理员了。
接下来的事情当然要说清楚了的好。
老老实实的打开qq将我之前发生的事情原
原本本的告诉了b。
然后帮助b把他的网站恢复备份，清除了a在网站上留下改过名的木马，当然还有我种下的asp木马和鸽子。
随后还花了大力气看了一遍所有的网页以防止被a种上了网页木马。
一翻折腾下来，看了看时间，都已经是3点多了，唉，我还以为今天是个愉快的周末了，社会工程学真是害人啊。
学黑的人，每天可能都在应用着社会工程学，可我今天就吃了这个亏，奶奶的。
虽说自己的心理很不舒服，但从另外一个角度来看的话，19
岁的小孩子都能运用的这么好，那这项技术绝对
是黑客们永远追求下去的其中一个主题，道理人人都会说，真正能彻底懂的人又有多少呢？。