社工介绍及防范

社会工程学

起源

社会工程学是黑客米特尼克在《欺骗的艺术》中所提出，但其初始目的是让全球的网民们能够懂得网络安全，提高警惕，防止没必要的个人损失。但在我国黑客集体中还在不断使用其手段欺骗无知网民制造违法行为，社会影响恶劣，一直受到公安机关的严厉打击。一切通过各种渠道散布、传播、教授黑客技术的行为都构成传授犯罪方法罪，如出版的《黑客社会工程学攻击2》已被公安机关网安部门所关注，予以打击；一切使用黑客技术犯罪的行为都将受到法律严厉制裁。

经过多年的应用发展，社会工程学逐渐产生出了分支学科，如公安社会工程学（简称公安社工学）和网络社会工程学。

[1]据余星辰发表至公安部核心期刊《警察技术》2014年第2期《公安社工学在网络追踪中的应用》文献内容[2]，提出公安社工学概念。

主要内容

社会工程学（Social Engineering）

社会工程学并不能等同于一般的欺骗手法，社会工程学尤其复杂，即使自认为最警惕最小心的人，一样会被高明的社会工程学手段损害自身利益。

社工陷阱通常以交谈、欺骗、假冒或口语等方式，从合法用户中套取用户系统的秘密。

社会工程学是一种与普通的欺骗和诈骗不同层次的手法。因为社会工程学需要搜集大量的信息（社会工程学数据库，简称社工库）针对对方的实际情况，进行心理战术。系统以及程序所带来的安全往往是可以避免的。而在人性以及心理的方面来说，社会工程学往往是一种利用人性脆弱点、贪婪等等的心理表现进行攻击，是防不胜防的。

我们从现有的社会工程学攻击的手法来进行分析，借用分析来提高我们对于社会工程学的一些防范方法。

熟练的社会工程师都是擅长进行信息收集的身体力行者。很多表面上看起来一点用都没有的信息都会被这些人利用起来进行渗透。比如说一个电话号码，一个人的名字。或者工作的ID号码，都可能会被社会工程师所利用。

社会工程学是一种黑客攻击方法，利用欺骗等手段骗取对方信任，获取机密情报。国内的社会工程学通常和人肉搜索进行联系起来，但实际上人肉搜索并不等于社会工程学。

总体上来说，社会工程学就是使人们顺从你的意愿、满足你的欲望的一门艺术与学问。

它并不单纯是一种控制意志的途径，但它不能帮助你掌握人们在非正常意识以外的行为，且学习与运用这门学问一点也不容易。它同样也蕴涵了各式各样的灵活的构思与变化着的因素。

无论任何时候，在需要套取到所需要的信息之前，社会工程学的实施者都必须：掌握大量的相关基础知识、花时间去从事资料的收集与进行必要的如交谈性质的沟通行为。

社会工程学定位在计算机信息安全工作链路的一个最脆弱的环节上。

我们经常讲：最安全的计算机就是已经拔去了插头（网络接口）的那一台（“物理隔离”）。

事实上，你可以去说服某人（使用者）把这台非正常工作状态下的、容易受到攻击的有漏洞的机器连上网络并启动提供日常的服务。

也可以看出，“人”这个环节在整个安全体系中是非常重要的。这不像地球上的计算机系统，不依赖他人手动干预、人有自己的主观思维。无论是在物理上还是在虚拟的电子信息上，任何一个可以访问系统某个部分（某种服务）的人都有可能构成潜在的安全风险与威胁。任何细微的信息都可能会被社会工程师用着“补给资料”来运用，使其得到其它的信息。这意味着没有把“人”（这里指的是使用者/管理人员等的参与者）这个因素放进企业安全管理策略中去的话将会

构成一个很大的安全“裂缝”。在这样的情况下社会工程学就是导致不安全的根本之一了。

特点及原理

通过对受害者心理弱点，本能反应，好奇心，信任，贪婪等心理陷阱进行分析并且推理然后达到欺骗的目的（获取对方的信任），从而得到自己想要的信息，如果知道如何运用这种攻击方式，自己都会觉得很可怕，特别是那些推理能力很强的，能从一条信息推出所有信息

黑客社会工程学是非传统的信息安全，它不是利用软件或系统的漏洞实现入侵的

黑客社会工程学攻击过程中，最核心的也是黑客最感兴趣的东西，就是用户的个人信息，尤其是涉及到游戏、银行卡账号密码等敏感信息。

黑客社会工程学攻击是将黑客入侵攻击手段进行了最大化，不仅能够利用系统的弱点进行入侵，还能通过人性的弱点进行入侵，当黑客攻击与社会工程学攻击融为一体时，将根本不存在所谓安全的系统。

常见黑客社会工程学攻击方式

1. 结合实际环境渗透

对特定的环境实施渗透，是黑客社会工程学攻击为了获取

所需要的敏感信息经常采用的手段之一。黑客通过观察被攻击者对电子邮件的响应速度、重视程度以及与被攻击者相关的资料，如个人姓名、生日、电话号码、电子邮箱地址等，通过对这些搜集的信息进行综合利用，进而判断被攻击的账号密码等大致内容，从而获取敏感信息。

2.伪装欺骗被攻击者

伪装欺骗被攻击者也是黑客社会工程学攻击的主要手段之一。黑客利用被攻击者疏于防范的心理引诱用户进而实现伪装欺骗的目的。据网络上的调查结果显示，在所有的网络伪装欺骗的用户中，有高达5%的人会对黑客设好的骗局做出响应。

3.说服被攻击者

说服是对互联网信息安全危害较大的一种黑客社会工程学攻击方法，它要求被攻击者与攻击者达成某种一致，进而为黑客攻击过程提供各种便利条件，当被攻击者的利益与黑客的利益没有冲突时，甚至与黑客的利益一致时，该种手段就会非常有效。

4.恐吓被攻击者

黑客在实施社会工程学攻击过程中，常常会利用被攻击目标管理人员对安全、漏洞、病毒等内容的敏感性，以权威机构的身份出现，散布安全警告、系统风险之类的消息，使用危

言耸听的伎俩恐吓、欺骗被攻击者，并声称不按照他们的方式去处理问题就会造成非常严重的危害和损失，进而借此方式实现对被攻击者敏感信息的获取。

5.恭维被攻击者

社会工程学攻击手段高明的黑客需要精通心理学、人际关系学、行为学等知识和技能，善于利用人们的本能反应、好奇心、盲目信任、贪婪等人性弱点设置攻击陷阱，实施欺骗，并控制他人意志为己服务。他们通常十分友善，讲究说话的艺术，知道如何借助机会去恭维他人，投其所好，使多数人友善地做出回应。

6.反向社会工程学攻击

反向社会工程学是指黑客通过技术或者非技术手段给网络或者计算机制造故障，使被攻击者深信问题的存在，诱使工作人员或者网络管理人员透漏或者泄露攻击者需要获取的信息。这种方法比较隐蔽，危害也特别大，不容易防范。

黑客社会工程学攻击的防范

1. 保护个人信息资料不外泄。目前网络环境中，论坛、博客、新闻系统、电子邮件系统等多种应用中都包含了用户个人注册的信息，其中也包含了很多包括用户名账号密码、电话号码、通讯地址等私人敏感信息，尤其是目前网络环境中大量的社交网站，它无疑是网民用户无意识泄露敏感信息