在前一个帖子里,咱们介绍了“信息收集
”,今天咱们来讲一讲“假冒身份
”的手法。<!-- program-think-->
为了避免某些同学误解,有必要事先澄清一下:“信息收集
”、“假冒身份
”、“施加影响
”这三个手法不是孤立存在的,而是有机结合的。攻击者在干坏事的时候,总会混用这三个手法以达到最终目的。俺只是限于时间和篇幅,所以才大卸三块,分开来介绍。
★为啥要假冒?
假冒身份说白了就是“包装”。攻击者又不是傻冒,他们当然不会轻易暴露自己的真实身份,自然要找一个马甲来伪装一下。一般来说,攻击者会根据面对的目标来选取针对性
的马甲。选好马甲之后,还要在某些细节上稍微粉饰一下,让人觉得更加逼真。
总而言之,包装要为后续的“施加影响
”埋下伏笔,打好基础。
★包装要达到啥效果?
按照二八原理
,大部分人都是感性的。包装的效果,就是要充分利用和挖掘人感性的弱点
。
◇博取信任
还记得上一个帖子
提到的那些“不敏感信息”吗?攻击者会利用这些信息来证明自己是机构内的人,从而得到信任(具体看文本后面的实例)。博取信任是先决条件,只有先取得信任,攻击者才能再接再厉,继续博取好感、博取同情、树立权威等等。
◇博取好感
博取好感显然是没啥坏处的。如果对方产生了好感,攻击者就便于提出更进一步的要求。比如很多保险推销员就善于利用各种手段来博取好感。
◇博取同情
大部分人或多或少都有一点同情心,某些攻击者会刻意示弱,从而让对方产生一些同情心,然后借机提出一些要求。从这个角度来讲,很多乞丐也利用了社会工程学的技巧。
◇树立权威性
很多人都会对权威人物有一种轻信和盲从。所以,树立权威性也有助于攻击者后续的“施加影响
”。
★如何包装?
◇选择身份
要达到上述的效果,首先要选择特定的身份。选择身份是很有讲究的,要综合考虑多方面的因素。由于俺不是教你如何搞社会工程攻击,所以俺只能是简单说一说。
要博取好感,攻击者可以通过建立认同感来达到。比如对方是某个秘书,攻击者会谎称自己是另一个部门的秘书(职务上的认同)。关于认同感,后面的帖子会详细介绍。
要树立权威性,可以通过冒充公司内更高级别的人物(或者和高层相关的人,比如某领导的秘书)。这个招数对于那些等级森严的公司,效果挺好。
要博取同情的话,可以看本文后面举的例子。
◇外貌的粉饰
除了选取身份,一些外貌的细节也很重要。由于大多数攻击者采用电话的方式沟通,那些嗓音略带磁性(仅限于男性)或者充满柔情(仅限于女性)的家伙,就很占优势啦。
大多数攻击者都不会贸然现身(现真身的风险可大了)。万一在特殊情况下需要亲自出马,到对方的机构去拜访,有经验的攻击者都会选取得体的着装,以便和假
冒的身份相称。在这种情况下,攻击者的长相也是一个关键因素。那些相貌堂堂、一表人才、玉树临风的家伙,第一眼就会让对方产生好感并放松警惕。
顺便跑题一下。我在本系列开篇的扫盲帖
里面不是强调过天赋
的重要性吗?所谓的社会工程学天赋,不光是脑瓜子机灵,嗓音和相貌也不能太差哦(尤其是嗓音)。俗话说得好:天生嗓音差不是你的错,但跑出来混社会工程就是你的不对啦!
★一个实例
前面忽悠了一大堆理论,为了加深同学们的印象,咱来看个简单的例子(灵感来自凯文·米特尼克
所著的《欺骗的艺术
》)。在此例子中,攻击者的主要目的是更进一步的“信息收集
”。在该过程中,攻击者使用了“假冒身份
”的手法。
◇主要人物介绍
某社会工程攻击者,简称小黑。
某公司客服人员,简称小白。
◇背景介绍
小黑想打探这家公司某客户(张三)的银行帐号。小黑先进行了一些初步的信息收集(通过Google),了解到如下信息:
1、公司内部有一个商业客户资料系统,里面包含有客户的银行帐号
2、该系统简称BCIS
3、该公司的客户服务人员有BCIS的查询权限
准备妥当之后,小黑打电话
到该公司客户服务部。
◇对话过程
小白:你好,哪位?
小黑:我是客户资料部的,我的电脑中了该死的病毒,没法启动了。偏偏有个总裁办的秘书让我查一个客户的资料,还催得很急。听说你们客服部也能登录到BCIS,麻烦你帮我查一下吧。谢谢啦!
小白:哦。你要查什么资料?
小黑:我需要一个客户的银行帐号。
小白:这个客户的ID是多少?
小黑:客户ID在我电脑里,可是我的电脑打不开了。麻烦你根据姓名进行模糊查找,应该能找到的。这个客户叫“张三”。
小白:稍等,我查询一下。
......
小白:找到了,你拿笔记一下,他的银行帐号是1415926535。
小黑:好的,我记下了。你可帮了我大忙啦!太谢谢你了!
小白:不客气。
◇案例分析
首先,攻击者通过信息收集中打听到“商业客户资料系统”简称BCIS。另外,攻击者还了解到“客服部门”有BCIS的查询权限。当小黑很自然地说出这两个信息,就会让小白相信自己是公司内的人员。
接着,小黑通过谎称自己的电脑中毒,来进行示弱并博取小白的同情。
有了上面这两条,小黑成功的把握就很大啦。如果再辅助一些特定的嗓音和语调,并且在言谈中流露出焦急的心情,那基本上就大功告成了。
关于“假冒身份”的话题,就暂时聊到这。本系列
的下一个帖子,咱们来聊一下“施加影响
”的话题。
版权声明
本博客所有的原创文章,作者皆保留版权。转载必须包含本声明,保持本文完整,并以超链接形式注明作者编程随想
和本文原始地址:
http://program-think.blogspot.com/2009/05/social-engineering-2-pretend.html
分享到:
相关推荐
用户感觉不到攻击存在,攻击通常是窃听或流量分析,判断通信性质 主动攻击:攻击者破坏通信过程,拦截、修改、伪造、丢弃信息、拒绝服务或假冒合法用户 网络信息安全内容整理全文共90页,当前为第2页。 2022/7/12 3/...
印度人口的增长速度惊人,对经济发展造成了威胁,更不要忘了另一个以同样速度增长的部门是假冒商品。 需要检查的一个重要事实是为什么我们发现假冒产品的数量如此增加。 需要探索人口渴望获得奢侈品这一事实。 该...
( ) A:破坏系统、窃取信息及伪造信息 B: 攻击系统、获取信息及假冒信息 C: 进入系统、损毁信息及谣传信息 网络运营者应当为 () 国家安全机关依法维护国家安全和侦查犯罪的 活动提供技术支持和协助。 A: 公安机关 B...
网络与信息安全事件应急预案 1 总则 为做好应对网络与信息安全事件... (3)信息破坏事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件 、信息丢失事件和其他信息破坏事件。 (4)信息内容安全事件是指通过
2、事件分类 网络与信息安全事件分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件设备设施故障和灾害性事件等。 (1)有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网络事件、...
Broadcom公司新型安全应用处理器 防止数据盗窃和身份假冒.pdf
现代计算机网络信息安全技术及网络安全策略 【摘要】随着计算机网络的普及和发展,人们的生活和工作越来越依赖于网络,与此 同时互连网的开放性和匿名性给计算机黑客、病毒等提供契机,利用网络犯罪,严重威 胁网络...
电子欺骗:通过假冒合法用户的身份来进行网络攻击,从而达到掩盖攻击者真实身份,嫁祸他人的目的. 非授权访问:没有预先经过同意,就使用网络或计算机资源被看作非授权访问。 传播病毒:通过网络传播计算机病毒,其...
Broadcom新型安全应用处理器系列掌握防止数据盗窃和身份假冒的关键.pdf
第二章 1,攻击的类型:访问攻击(信息保密性攻击,修改攻击(信息完整性攻击,拒绝访问攻 击,否认攻击。 2,访问攻击类型:监听,窃听,截听。 3,修改攻击类型:更改攻击,插入攻击,删除攻击. 4,什么是warchalking?:...
名称(项目标题):基于 Android 的系统身份验证全面安全 远程中心 ID (RC_ID):1067 学院/学院名称:圣弗朗西斯理工学院 城市、州、密码:Borivali –Mumbai, Maharashtra, 400066 学生姓名:助理。 Bhavesh ...
信息系统安全应急响应预案 第一章 总 则 1. 为提高应对信息系统在运行过程中出现的各种突发... (三)信息容安全事件:利用信息网络发布、传播危害国家安全、社会稳定和公共 利益的不良信息容的事件。 (四)网络故障
企业移动应用平台自身生成的信息数据主要包含操作系统、应用程序、配置信息、应用 缓存、用户缓存、审计日志等,其信息数据的生成在经过三层网络及应用安全防护安全 系统架构保护环境之下,同时最核心的用户信息数据...
主动攻击:假冒(masquerade),重放(replay),改写消息(modification of message),拒绝服务(denial of service)。 2. 什么是不可抵赖性?重放攻击? 重放攻击:涉及被动获取数据单元并按照它之前的顺序重新传输,...
信息安全技术信息系统等级保护安全设计安全方案 "目录 " "一. 概述 1 " "二. 需求分析方法和框架模型 2 " "2.1 需求收集 2 " "2.1.2 合规需求 2 " "2.1.3 安全体系框架 2 " "2.1.4 安全指南 3 " "2.2 需求导入和分析...
人脸识别中视频回放假冒攻击的实时检测方法.pdf
(5)非授权访问:攻击者通过假冒、身份攻击、系统漏洞等手段,获取系统访问权,从而使 非法用户进入网络系统读取、修改、删除或插入信息等。 (6)拒绝服务攻击:攻击者通过某种方法使系统响应速度减慢甚至瘫痪,阻止合法...
关键字:现状 面临问题 挑战 应对策略 一、电子商务信息安全现状 现如今,网上购物已经成为普通消费者的购物选择之一,逐渐成为消费的主流。截至 2007年6月,我国互联网用户已经从2001年的2650万户激增到目前的1....
黑客所使用的入侵技术主要包括协议漏洞渗透、 密码分析还原、应用漏洞分析与渗透、社会工程学、拒绝服务攻击、病毒或后门攻击 。 22、漏洞的来源主要有软件或协议设计时的瑕疵、软件或协议实现中的弱点、软件本 身的...
信息安全问题比单机更加难以得到保障 B:电子邮件是个人之间的通信手段,不会传染计算机病毒 C:防火墙是保障单位内部网络不受外部攻击的有效措施之一 D:网络安全的核心是操作系统的安全性,它涉及信息在存储和处理...