百家 | 浅析社会工程学情报收集:互联网=军火库

澳门十大网赌网址:2019-07-10 澳门十大正规网站: 4535 次

社工是一种通过对“人性”的心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法,猜密码、假身份、美人计,高明的社工手段令人防不胜防。

这里说个有趣的社工案例:

曾有一家企业斥巨资投入到网络安全建设上,自认为绝不可能被入侵。他们信心满满地聘请了一个专业渗透团队进行渗透测试,结果让人大跌眼镜,这个渗透团队只派出一个人,在一天里就成功侵入这家企业的信息系统。

这人是这么做的,他先购买了几个空白U盘,制作成“BAD USB”并把这几个U盘的外表装饰得非常卡哇伊,随后溜达到目标企业的接待大厅里,偷偷将U盘散落在大厅各个角落。不久之后,企业的某个闷骚男捡到了其中一个U盘,卡哇伊的外表证明U盘的主人是一位年轻女性,这让闷骚男心潮澎湃情难自禁,很快将U盘连接企业的计算机准备一探幽秘。于是,整个企业的系统中招。

所以,社工是一种能够出奇制胜的渗透手段,但是不要被案例迷惑,社工并不是都像案例中那么简单,它是一门复杂精细的技术,成功的背后有着无数的努力。

事关社工成败最重要的一个因素就是情报。任何一次社工,在先期都要进行大量情报收集工作,情报收集得越详尽,对目标越熟悉,制定计划就越有针对性,得手的几率也就随之提高。

社工er们是如何收集情报的呢?

 

一、 社工库

社工库是将社工所需要的信息整合的数据库,有海量的账号和对应的密码。很多网民安全意识淡漠,没有良好的密码管理习惯,在多个网站、邮箱、社交工具上使用同样的密码。所以在社工库中获取、目标惯用密码,再到多个网站上去尝试登录,成为社工的首选,没有之一。有句话叫“数据比你妈更了解你”,最早就是形容社工库的。

近年来,因为“人肉”丑闻频发,且涉嫌侵犯公民个人信息,公开的社工库几乎已经绝迹。

 

二、 手机类

拿到一个手机号码,社工能够获取的信息是超出常人想象的。

首先,通过号码归属地和基站信息查询,能够掌握到目标的大概位置,这一步很简单但是很重要,可以根据归属地来获得目标的身份证号码前六位等信息。

接着,通过某些具有云电话簿功能的APP能够获取持机人的标注信息,例如“家电维修张三”、“滴滴司机李四”等,运气好的话职业和姓就有了。

另外,通过社交App、网站查询手机号,也许能获得目标的出生年月日,或是生活照片、留言等很有价值的信息;

有没有尝试过XX宝等金融工具的转账功能呢,通过转账的姓名验证功能,可以拿到持机人的名字(少个姓,可以结合其他信息尝试猜测)。

把手机号在所有搜索引擎中查询一遍也很重要,经常会有令人惊喜的发现。注意,必须是所有搜索引擎,毕竟每个搜索引擎抓取的内容是不同的。

手机号多用于查明持机人身份,往往是社工的开始,其重要性不言而喻。如果没能掌握到手机号,也可以通过网上身份或者手机相关的如IMEI、IMSI、ICCID、MAC等信息来反查获得手机号。

 

三、 图像类

以图搜图是众所周知的功能,这里不再赘述。

值得一提的是,部分摄像设备拍出的相片带有exif信息,exif信息中一项很重要的资料是经纬度,情报价值非常巨大。获得一张带经纬度的相片,再加上分析拍摄角度,能够精确定位到拍摄地点在哪栋楼的哪个房间。

通过上传图片到一些分析网站就可以查看到经纬度信息,更简单的办法是直接在电脑上对图片点鼠标右键选择属性,经纬度信息就在属性之中。

此外,图片还可用于人脸比对、来源查看、修改检测等等。

 

四、 身份类

身份类包括信用信息、政府开放信息、司法公开信息、职业信息等方面。

其中信用信息是最常用的,其它应用范围较小。

信用信息最常用的是某查查等商业网站,信息很全,可以有效梳理目标的人物关系,对社工帮助很大。政府也有很多信用信息网站,为了使用方便,网站的个人默认登陆密码是有规律的,这就给社工提供了绝妙的机会。

社工技术博大精深,收集情报的方法也远非局限于本文,本文只是提供一点如何利用互联网上公开的网站和工具收集信息的思路,不足谬误之处请指正。出于安全考虑,以及互联网的飞速变化,文中没有出现任何具体网站、应用的名字和网址,望谅解。

 

转自:药师  安在

分享到:
×

微信扫一扫分享

XML 地图 | Sitemap 地图