《欺骗的艺术》 第1章 《欺骗的艺术》 作者：[美]米特尼克 声明:本书由奇书网()自网络收集整理制作,仅供交流学习使用,版权归原作者和出版社所有,如果喜欢,请支持订阅购买正版. 正如知道windows的人，都知道比尔?盖兹，如果你对信息安全有所了解，便一定听说过凯文?米特尼克。在信息安全的世界里，他的黑客传奇生涯是无人比拟的。 15岁时闯入“北美空中防务指挥系统”的主机，翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，然后溜之大吉； 24岁时被dec指控从公司网络上窃取价值100万美元的软件并造成了400万美元损失，被警察当局认为，只要拥有键盘就会对社会构成威胁； 1994年，成功入侵美国摩托罗拉、novell、sun、microsystems，芬兰的诺基亚等高科技公司的计算机，fbi推算其盗走的程序和数据而造成的实际损害总额达至4亿美元； 2000年，米特尼克获得监督释放。但不准触摸计算机、手机以及其他任何可以上网的装置； 美国联邦调查局将他列为头号通缉犯、好莱无根据他的事迹为蓝本拍摄了电影《战争游戏》、以他为主角的书籍更是已经超过10本…… 2002年底，凯文?米特尼克完成出版了《欺骗的艺术》一书，此一上市便成为美国畅销书籍，大获成功。米特尼克也由一个世界著名的黑客成为一名致力于信息安全保护方面的专家。 信息安全已经被全世界所关注，中国也将其提到国家安全的高度。纵然，我国的信息安全技术近年来有了长足的提高进步，但在理念意识上仍然有很大的差距。尤其是凯文?米特尼克在《欺骗的艺术》这本书中详细介绍的社会工程学，仍是许多信息安全工作者们一直以来没有给予重视的非技术类的攻击手段。 本书适于企业、政府的管理人员以及任何缺乏信息安全知识和对信息安全知识有兴趣的人阅读。 在物质产品并不匮乏时，安全意识比安全措施重要的多 人类天生就有一种探索周围环境的内在动力，作为年轻人，我和凯文?米特尼克(kevinmitnick)对这个世界有着无比的好奇心并渴望证明自己的能力。我们努力学习新事物、解决难题并赢得比赛，但同时这个世界又告诉我们一个行为规则――不要过于放任自己对探索自由的强烈渴望。可对于最大胆的科学家和企业家，还有像凯文?米特尼克这样的人来说，跟随内心的这种渴望会带来极大的兴奋，并使他们完成别人认为是无法做到的事情。 凯文?米特尼克是我认识的人中最杰出的一个。只要你问他，他便会坦率的告诉你他曾经做过的事――社会工程学――包括骗人。但凯文已经不再是一个社会工程师了，即便在他曾经是的时候，他的动机也绝不是发财和伤害他人。这并不是说这个社会不存在利用社会工程学而给他人带来真正伤害的危险的破坏者，事实上，凯文写这本书的目的就是要提醒大家警惕这些罪犯。 《欺骗的艺术》将会展示政府、企业和我们每一个人，在社会工程师的入侵面前是多么的脆弱和易受攻击。在这个重视信息安全的时代，我们在技术上投入大量的资金来保护我们的计算机网络和数据，而这本书会指出，骗取内部人员的信任和绕过所有技术上的保护是多么的轻而易举。无论你是在政府还是在企业，这本书都如同一个清晰、明确的路标，它将帮助你弄清社会工程师的手段，并且挫败他们的阴谋。 以小说故事的形式展开叙述，不仅有趣，还具有启发性，凯文和合著人比尔?西蒙将把社会工程学这一不为人知的地下世界展现在你的面前。在每个故事叙述之后，他们还将提供一个实用的技术指南来帮助你提防他们在书中所描述的威胁和泄露。 技术上的安全防护会留下很大的漏洞，凯文这样的人可以帮助我们去堵住它。阅读此书，你会发现我们所有的人都终将需要得到“米特尼克”（译者注：指凯文?米特尼克这样的人）的指导。 前言 一些黑客毁坏别人的文件甚至整个硬盘，他们被称为电脑狂人（crackers）或计算机破坏者（vandals）。另一些新手省去学习技术的麻烦，直接下载黑客工具侵入别人的计算机，这些人被称为脚本小子（scriptkiddies）。而真正有着丰富经验和编程技巧的黑客，则开发黑客程序发布到网站或论坛（bbs）。还有一些人对黑客技术没有丝毫兴趣，他们把计算机仅仅当做窃取金钱、商品和服务的辅助工具。 尽管媒体神话了凯文?米特尼克，但我并不是一个用心险恶的黑客，我只是喜欢不断地超越自己。 人之初 我的人生之路，也许在我很小的时候就注定了。三岁时，由于父亲的离去，使我无忧无虑的生活发生变故。做招待的母亲支撑着家庭。那时的我（一个由深受没有工作规律之苦的母亲养活着的独生子），除了睡觉以外，大部位时间都没人管，我就是我自己的保姆。 在圣费尔南多谷（sanfernanadovalley）的成长经历给予我探索整个洛杉矶的机会，十二岁时，我发现了一个可以免费周游洛杉矶的方法。我发现到坐公车时购买的换乘券，是由一种非常规的打孔机打出来的，公车司机用它来在换乘券上标记日期、时间和路线。一位司机友好地回答了我精心准备的问题，于是我知道了在哪里可以买到这种特殊的打孔机。换乘券用来改乘车次从而到达目的地，但是我想出的方法，可以让我使用换乘券免费到达我想去的任何地方。 获得空白换乘券很容易，如同去公园散步般简单，因为公车终点站的废物箱中总是充斥着公车司机换班时未用完的换乘券本子。用一叠空白换乘券加上打孔机，我可以制作出我自己的换乘券，并用它行遍全洛杉机公车能够到达的任何地方。很快，我就差不多记住了整个公交系统的公车时刻表。（我对某种信息的记忆力总是让人惊讶，这一个较早的例子。直到现在，我还能记住远在童年时的电话号码、口令以及其它一些看上去十分琐碎的事情。） 另一个在小时候就显露出来的个人兴趣是对魔术的迷恋。一旦我知道了某个魔术的变法，我就会不断的练习、练习，再练习，直到我完全掌握。从某种程度上说，正是由于魔术，才让我发现获取秘密信息的乐趣。 从盗打电话到黑客 我首次接触社会工程学的时候是在中学时期，那时我遇到了一位喜欢盗打电话的同学。“电话盗打”是一种利用电话公司雇员和电话系统来探测电话网络的黑客行为。他向我展示了使用电话的高级窍门，比如从电话公司获取任何一位客户的资料，以及使用秘密测试号码拔打免费长途电话。实际上这只是对我们来说免费，因为我后来发现这根本就不是一个秘密测试号码，那些话费事实上从某些倒霉公司的mci（译者注：美国著名通讯公司）帐户上划出了。 这就是我对社会工程学的入门，也可以说是我的启蒙阶段。我的朋友还有后来认识的另外一个盗打电话的人，他们在给电话公司打电话时让我在旁边听，他们是如何让电话公司相信他们所说的话。于是，我知道了许多电话公司的办公地点，他们的业内用语，还有办公程序。这种“训练”并没有花多长时间，不久我便可以完全自己来做这些事情，甚至比我的启蒙老师们做的还要好。 我生命中下一个15年的生活已经注定。 在中学，我最为喜欢的恶作剧就是获得对电话交换机未授权的访问，然后改变某个电话盗打者的话费设置。当他从家里打电话时，他的电话就会告诉他需要投入一角硬币，因为电话公司交换机的记录被我更改，从而认为他拔打的是一个投币电话。 我开始关注有关电话的任何事情，不只是电子学、交换机和计算机，还有公司组织、业务手续和行业术语。不久之后，我就比任何一个电话公司的雇员都更加了解电话系统。我对社会工程学的运用也达到了娴熟的阶段，十七岁时，我就能与大多数电信公司的员工谈论几乎任何事情，无论是当面聊还是打电话。 实际上我较为公开化的黑客之路，始于中学。尽管在这里我无法说清原委，但其实一句话也能表达了。在我黑客生涯的早期，一个驱使我的动力就是被黑客圈子的人所接受。在那时，黑客这个词是指一个花费大量的时间调置软硬件的人，或是开发更有效的程序，或是绕过不必要的步骤来更快的完成工作。这个词如今已经是一个带有贬义的“恶意犯法者”的意思了，但在本书中，我仍然按原来对它更为善意的理解使用这个词汇。 中学之后，我在洛杉矶计算机学习中心攻读计算机。没几个月的时间，学校的计算机管理人员就意识到我发现了操作系统的漏洞，并取得了管理员权限，但是在学校的教学人员中，最好的计算机专家也无法弄清我是如何这样做的。这也许是最早雇佣黑客的例子之一吧，他们给了我一个无法拒绝的提议：要么做出一个荣誉学位的毕业设计来加强学校的计算机安全，要么由于黑客行为而中止学业。当然，我选择了前者，以本科优等成绩荣誉学士毕业。 第2章 成为社会工程师 每天早晨，许多人从床上一爬起来，便开始对千篇一律的繁重工作犯愁。我却很幸运，因为我喜欢我的工作。你简直无法想像我作为一个秘密调查者而得到的挑战、奖赏和快乐。我的天份在称为社会工程学（使人们做在通常情况下不会为陌生人做的事情）的表演艺术中得到磨练和回报。 对我来说，成为社会工程学的行家里手并不困难。我父亲家一连好几代都从事销售领域，因此家里人都有着说服和影响别人的家族特征。当把这种特征与骗人的爱好结合起来时，这就是一个社会工程师的基本轮廓了。可以说行骗艺术的分类有两种，一种是通过诈骗、欺骗来获得钱财，这就是通常的骗子。另一种则通过蒙敝、影响、劝导来达到获取信息的目的，这就是社会工程师。从我使用诡计免费乘车的时候（我那时还小，并没有认识到这样做有什么不对），就逐渐意识到我具有一种以前没有料想到的挖掘秘密的天份。通过使用诡计、了解术语和培养良好的操纵技巧，更为加强了这种天份。一个用来发展我的专业技艺（如果这可以称为一个专业的话）的方法就是看我是否能与电话另一端的人攀谈，并获得相关信息，即便这些信息对我毫无用处，这样做只是为了证明我的专业技巧。同样，我还用此种方法，练习奇巧的计谋、托辞，不久我发现我可以取得我想关注的任何信息。正如我在数年后的国会听证会上，在利伯曼（lieberman）和汤姆森（tompson）参议员面前所做的证词中描述的那样： “我未经授权进入了世界上最大的几家公司的计算机系统，并成功渗透了一些防范最好的电脑系统。我使用技术和非技术手段来取得各种操作系统和通讯设备的源代码，以研究它们的漏洞和工作机理。所有的这些行为都是为了满足自己的好奇心。看看自己能做什么，并发现其中的秘密，比如操作系统、移动电话以及任何能引起我好奇心的东西。” 最后的想法 自从被捕以后，我已经承认了自己这些行为的非法，侵犯了他人的秘密。我的错误行为是由于好奇心引起的，我抑制不住的想知道电话网络是如何运转的，以及了解计算机安全的每个细节。我从一个喜欢魔术戏法的孩子成为一个最具恶名的、被政府和企业害怕的黑客。当我反省过去的这30年时，我承认自己做出了极其拙劣的选择，被好奇心驱使，被学习技术的欲望和智力挑战的虚荣所驾驭。 但我现在已经转变，我正在运用我的才能和信息安全、社会工程学的许多有关知识来帮助政府、企业、个人来检测、防范和应对信息安全的威胁。本书可以把我的经验较好地介绍给他人，以避免那些怀有恶意的信息盗贼可能带来的危害。我相信，你将会从本书中得到乐趣、教育和启发。 内容介绍 本书包含丰富的信息安全与社会工程学的知识，为有助阅览，下面对本书内容做一个简要介绍： 在本书的第一部分（第一章），我将展示信息安全的薄弱环节，并指出为什么你和你们的企业处于社会工程师攻击的危险之下。 本书的第二部分（第二至九章），大家将会看到社会工程师是如何利用人们的信任、乐于助人的愿望和同情心使你上当受骗，从而获得他们想要的信息。本书通过小说故事的形式来叙述典型的攻击案例，给读者演示社会工程师可以戴上许多面具并冒充各种身份。如果你认为自己从来没有遇到过这种事情，你很可能错了。你能从本书的故事中认出自己似曾相识的场景么？你想知道自己是否经历过社会工程学的攻击么？这些都极有可能。但当你看完了第二章到第九章时，便知道下一个社会工程师打来电话时你该如何占取主动了。 接下来的部分将展示一个社会工程师如何铤而走险，进入企业内部，盗取关健信息并越过高级安全防控措施的过程。此部分内容会让人意识到安全威胁存在于各个方面，从普通员工对企业的报复一直到电脑空间的网络恐怖主义。如果你对保持公司业务运转的数据和秘密信息十分重视并为之感到担心，请仔细的阅读本书第三部分（第十至第十四章）。这里需要注明的是：“除非另做声明，本书中的故事情节纯属虚构。” 本书第四部分(第十五至十六章)我将谈到，在业务对话中如何成功的防止社会工程学给企业带来的攻击。第十五章提供一套有效的安全防范培训计划；第十六章也许正解你的燃眉之急――它包含一个完整的安全策略，你可以按公司的需要来立刻应用，以保证企业的信息安全。 最后，本书提供一个由列表、表格组成的“安全一瞥”，用来概括说明一些关健信息，以帮助员工在工作中阻止社会工程学带来的攻击。这些方法还可以为你做出自己的信息安全培训计划提供颇具价值的帮助。 纵览全书，你还可以发现一些非常有用的内容条目：“术语箱”提供社会工程学和计算机黑客的术语；“米特尼克信箱”发出精典短语，有助于加深安全策略的印象；注释与工具条则带来一些有趣的背景知识等附加信息。 第一部幕后的故事 第一章安全软肋 某公司也许购置了能用钱买到的最好的安全技术，员工们也训练有素，每晚回家前把所有的秘密都锁起来，并从业内最好的保安公司雇用了保安，但这家公司仍然易受攻击。一些人可能遵从了专家所有最好的安全建议，安装了各种受推荐的安全产品，并十分谨慎的处理系统配置以及应用安全补丁，但他们仍然很不安全。 人为因素 在国会听证会前的一次证言中，我解释到我经常可以从企业获得密码口令或其他类似的敏感信息，只需假扮某人直接开口要就是了。人们对于绝对安全的渴望常常导致他们满足于虚假的安全感之中。想像一位负责任的可爱的屋主，他有一套麦迪科（译者注：medico,知名品牌、价格昂贵）防撬锁装在屋子的大门上，以保护他的妻子、孩子和他的家。他觉得很心安，因为他把家庭保护的很好。但对于破窗而入和解开车库大门密码的闯入者呢？再安装一套强壮的安全系统么？虽然有用，但还是不够安全。无论防盗锁是昂贵还是便宜，屋主的安全仍然难以保障。为什么？因为人为因素才是安全的软肋。 安全，通常情况下仅仅是个幻想，由其是轻信、好奇和无知存在的时候。二十世纪最受尊敬的科学家爱因斯坦这样说道：“只有两种事物是无穷尽的――宇宙和人类的愚蠢。但对于前者，我不敢确定。”最终，社会工程学的攻击，成功于人们的愚蠢或更为普遍的对信息安全实践上的无知。 与这位屋主一样，有许多信息技术（it）从业者都有着类似的错误观念。他们认为自己的公司固若金汤，因为其配置了精良的安全设备――防火墙、入侵检测，或是更为保险的身份认证系统，如时间令牌和生物识别卡。任何认为仅靠这些安全设备即可保证安全的人都会满足于虚假的安全感之中，这就是一个生活在幻想世界中的例子，他们迟早会不可避免的遭遇安全事故。 正如著名的安全顾问布鲁斯?施尼尔（bruceschneier）所说：“安全不是一件产品，它是一个过程。”近一步说，安全不是技术问题，它是人和管理的问题。由于开发商不断的创造出更好的安全科技产品，攻击者利用技术上的漏洞变得越来越困难。于是，越来越多的人转向利用人为因素的手段来进行攻击。穿越人这道防火墙十分容易，只需打一个电话的成本和冒最小的风险。 一个欺骗的经典案例 企业资产安全最大的威胁是什么？很简单，社会工程师。一个无所顾忌的魔术师，用他的左手吸引你的注意，右手窃取你的秘密。他通常十分友善，很会说话，并会让人感到遇上他是件荣幸的事情。我们来看一个社会工程学的例子： 许多人都已记不起一个叫斯坦利?马克?瑞夫金（stanleymarkrifkin）的年轻人，和他在洛杉矶的美国保险太平洋银行（securitypacifiationalbank）的冒险小故事了。他的劣迹很多，瑞夫金（同我一样）从未把自己的事情告诉过别人，因此下面的叙述基于公开的报道。 获得密码 1978的一天，瑞夫金无意中来到了美国保险太平洋银行的授权职员准入的电汇交易室，这里每天的转款额达到几十亿美元。瑞夫金当时工作的那家公司恰巧负责开发电汇交易室的数据备份系统，这给了他了解转账程序的机会，包括银行职员拔出账款的步骤。他了解到被授权进行电汇的交易员每天早晨都会收到一个严密保护的密码，用来进行电话转帐交易。 电汇室里的交易员为了记住每天的密码，图省事把密码记到一张纸片上，并把它贴到很容易看得见的地方。11月的一天，瑞夫金有了一个特殊的理由出入电汇室。到达电汇室后，他做了一些操作过程的记录，装做在确定备份系统的正常工作。借此机会偷看纸片上的密码，并用脑子记了下来，几分钟后走出电汇室。瑞夫金后来回忆道：“感觉就像中了大奖”。 转款入户 瑞夫金约在下午3点离开电汇室，径直走到大厦前厅的付费电话旁，塞入一枚硬币，打给电汇室。 第3章 此时，他改变身份，装扮成一名银行职员――工作于国际部的麦克?汉森（mikehansen）。那次对话大概是这样的： “喂，我是国际部的麦克?汉森。”他对接听电话的小姐说，小姐按正常工作程序让他报上办公电话。“286。”他已有所准备。小姐接着说：“好的，密码是多少？”瑞夫金曾回忆到他那时的“兴奋异常”。“4789”他尽量平静地说出密码。接着他让对方从纽约欧文信托公司（irvingtrustpany）贷一千零二十万美元到瑞士苏黎士某银行（wozchodhandelsbank），他已经建立好的账户上。对方说：“好的，我知道了，现在请告诉我转账号。” 瑞夫金吓出一身冷汗，这个问题事先没有考虑到，他的骗钱方案出现了纰漏。但他尽量保持自己的角色，十分沉稳，并立刻回答对方：“我看一下，马上给你打过来。”这次，他装扮成电汇室的工作人员，打给银行的另一个部门，拿到帐号后打回电话。对方收到后说：“谢谢。”（在这种情况下说“谢谢”，真是莫大的讽刺。） 成功结束 几天后，瑞夫金乘飞机来到瑞士提取了现金，他拿出八百万通过俄罗斯一家代理处购置了一些钻石，然后把钻石封在腰带里通过了海关，飞回美国。瑞夫金成功的实施了历史上最大的银行劫案，他没有使用武器，甚至勿需计算机的协助。奇怪的是，这一事件以“最大的计算机诈骗案”为名，收录在吉尼斯世界纪录中。斯坦利?瑞夫金用的就是欺骗的艺术，这种技巧和能力我们现在把它称为――社会工程学。 威胁的天然性 瑞夫金的故事确切的证明了我们的安全感是多么不可靠。这样的事件（也许到不了一千万美元，但终归有所损失）每天都在发生，你的资金可能正在流失，新产品方案正在被窃取，而你却一无所知。即使你的公司还没有这样的事情出现，那也会终将出现。但它何时出现呢？ 日益增长的安全事件 美国计算机安全协会在2001年计算机犯罪调查报告中声称，在接受调查的组织机构中，有85%的组织在过去的12个月中发现了计算机安全事件。这是一个惊人的数字，只有15%的机构在过去的一年中没有发现安全事件。另一个数字同样惊人，有64%的机构由于计算机的问题而导致财务损失，超过一年中遭受财务损失企业的二分之一强。 我的经验告诉我这个数字有些夸大，并对这项调查的研究结果表示怀疑。但这并不是说安全事件的危害面不大，相反，它很大。那些未把安全事件考虑在内的人，迟早会出问题。大多数公司配置的安全产品主是应付业余入侵者的，比如被称为“脚本小子”的年轻人。实际上，这些利用别人的软件，并憧憬着成为真正黑客的人，大多数情况下只能引起一些麻烦。真正的损失和威胁，来自于经验丰富、目标清晰，受商业利益驱动的攻击者。这些人一次只盯准一个目标，而不像业余入侵者试图进入尽可能多的系统。业余黑客看重数量，而职业黑客在乎的是信息的质量和价值。 认证设备（身份认证）、访问控制（对文件和系统资源的控制管理）和入侵检测系统（计算机化的防盗器）等技术，对公司的安全防护是十分必要的。然而，现在的公司在布置保护企业免受攻击的安全对策方面的投入比其花在咖啡上的钱还要少。 正如同罪恶的心无法抵制诱惑，黑客们一心要找出功能强大的安全系统的弱点。在许多时候，他们把这种心思放在了人的身上。 欺骗的使用 许多人都说，关掉了的计算机才是安全的计算机，但这是错误的，找个借口让人去办公室打开它就是了。你的对手不仅仅有一种方法可以从你那里得到他想要的信息，这只是时间的问题。耐心、个性和坚持，这正是欺骗的艺术的切入点。 要击败安全措施，一个攻击者、入侵者，或是社会工程师，必须找到一个方法，从可信用户那里骗取信息，或是不露痕迹的获得访问权。当可信用户被欺骗、影响，并被操纵而吐露出敏感信息时，或是做出了不当的举动，从而让攻击者有漏洞可钻时，什么样的安全技术也无法保护住你的业务了。正如同密码专家有时通过寻找漏洞来绕过加密技术解出密文一样，社会工程师通过欺骗你的雇员来绕过安全技术。 信任的弊端 大多数情况下，成功的社会工程师都有着很强的人际交往能力。他们有魅力、讲礼貌、讨人喜欢，并具有快速建立起可亲、可信感的特点。一个经验丰富的社会工程师，使用他自已的战略、战术，几乎能够接近任何他感兴趣的信息。精干的技术专家辛辛苦苦地设计出安全解决方案来最小化使用计算机的风险，然而却没有解决最大的漏洞――人为因素。尽管我们很聪明， 但对我们人类――你、我、他的安全最严重的威胁，来自于我们彼此之间。 我们的国民性格 我们对危险漠不关心，尤其在西方，美国则更甚。我们没有受到要对别人保有怀疑态度的训练，我们接受的是“爱汝之邻”（译者注：此句引自《圣经》）的教育，人与人之间要相互信任和忠实，试像一下小区的保安机构让人们锁上家门和车门是多么的困难。这种情形是很明显的，却似乎被许多宁愿活在理想世界里的人忽略，直至受到伤害。 我们知道，并不是所有的人都诚实善良、友爱可亲，可我们在生活中却经常把他人想像成这样。这种可爱的无知一直都是美国人的生活方式，放弃这种习惯十分不易。做为美国人，自由和最适宜居住的地方就是锁和钥匙最没必要的地方，这种理念已经深入人心。大多数人持有不会被欺骗的想法是觉得被骗的可能性很低，而攻击者利用这种心理，编出不会引起怀疑的听上去十分合理的理由，充分的利用了受骗者的信任。 机构的无知 无知是我们国民性格的一部分，这可以在回溯计算机首次远程联接时轻易的看出。appa（美国国防部高级研究项目署网络），互联网的前身，用来在政府、科研和教育机构之间共享信息，其目标是信息共享和科技进步，许多教育机构因此建立了几乎没有任何安全措施的早期计算机系统。一个著名的软件开发自由主义者，理查德?斯托曼，甚至拒绝为他的账号设置口令。但随着互联网电子商务的兴起，由于互联网脆弱的安全措施导致的危害性发生了极大的变化。 使用再多的安全技术也不能解决人为的安全因素，拿今天的机场为例，安全已经成为首要措施，然而我们仍然被媒体的报道所警告，还是有人可以避开安全措施、携带潜在性武器通过检测。在一个机场时刻处于警戒状态下的时期，这种事情又是怎么发生的呢？是那些金属仪器失效了么？不，问题不在机器，问题在于人，机器是由人操纵的。机场的官员虽然可以布署国民警卫队并安装检测器和面部识别系统，但如何培训一线保卫人员正确地检查旅客则更为重要。全世界的政府、商业、教育机构都有同样的问题，虽然各个地方的职业安全人员不敢懈怠，但信息仍然易受攻击，并被具备社会工程学技巧的攻击者视为可摘之果，除非安全链中最薄弱的环节――人为因素，被加固强化。 现在，我们比任何时候都需要停止幻想，同时对攻击计算机系统和网络机密性、完整性以及实用性的技术加深认识。我们已经认识到主动防御的必要，是接受和学习安全防护的时候了。 对你的隐私、思想和公司信息系统的非法入侵似乎很遥远，直到它真的发生。为了避免付出昂贵的代价，我们所有的人都需加深认识、富有经验、保持警醒，并主动防卫我们的信息资产、个人信息，以及国家的关健基础设施。现在，我们必须实行严谨、周密的设防。 欺骗与恐怖分子 当然，欺骗并不是社会工程师的专用工具。暴戾的恐怖主义制造了耸人听闻的新闻事件，我们前所未有地意识到我们居住的世界充满了危险。文明，终归只是一层脆弱的薄板。2001年，发生在纽约的911事件把悲伤和恐惧植入每一个人的心中，不只是美国人，还有世界上所有善良的人们。我们已经开始警觉，因为这个世界上还分布着受到良好训练的极端恐怖分子，伺机再次发动对我们的攻击。 政府最近的强化努力已经提升了大众的安全意识，我们需要保持警醒，警惕各种形式的恐怖主义。我们需要了解恐怖分子是如何伪造各种身份，假扮学生、邻居而混入人群的，他们掩饰住自己真实的思想以密谋恐怖行动，而他们使用的就是类似于本书中介绍的欺骗手法。 然而，就我所认为，恐怖分子目前尚未利用社会工程学的手法渗透到水处理厂、发电厂，或其它关系国计民生的基础设施中，但可能性依然存在，这毕竟太容易做到了。我希望安全意识和相应的安全策略将会得到正确的应用并得到企业上层管理的加强，因为这本书恰逢其时。 关于此书 企业安全是一个平衡问题，安全性太差公司易受攻击，但过多的强调安全又会妨碍业务管理和公司的发展，其难点在于达到生产效率和安全之间的平衡。 其它关于企业信息安全的书都把重点放在硬、软件技术上，而忽略了最重要的安全威胁――对人的欺骗。 第4章 与之相反，此书的目的，就是要帮助大家理解自己、同事，和公司其他人员是如何被操纵的，并帮助大家建立屏障，谨防成为受害者。本书的重点放在入侵者用来盗取信息的非技术手段上，它能够对看似安全的信息完整性产生威胁，甚至破坏公司的工作成果。 我的任务由于一个简单的事实而更加困难――每个读者都一直被社会工程学高级专家――他们的父母所控制着，他们有办法（比如：“这是为了你好”）让你去做他们认为最应该做的事。父母们就是使用类似社会工程学的方法，巧妙的编出看似有理的故事、理由以及借口，来达到他们的目的。是的，我们都被我们的父母所引导――那些乐善好施的（偶尔也不完全如此）社会工程师们。 由于这种生长环境，导致我们软弱而容易被操纵。可总是对他人怀有戒心，担心上当受骗，会活得很累。在理想的世界里我们应对他人给予绝对信任，每个人都是诚实和值得信赖的。但我们并没有生活在理想世界中，我们必须锻炼我们的防欺诈能力以对付我们的敌人。 这本书的主要内容――第二和第三部分，讲述社会工程师如何实施欺骗的故事。在这两部分中，大家将会看到如下内容： ?电话盗打者早就发现的，一个从电话公司弄到未刊登电话号码的方法； ?几个不同的社会工程学方法，甚至可以让有所警觉和怀疑的职员吐露出自己的用户名和口令； ?信息中心的管理人员如何被控制以配合攻击者窃取企业最机密的产品信息； ?隐私调查者是如何弄到你的企业、你本人的隐密信息的，我可以保证，这会让你脊背发凉。 你也许会认为这两部分中讲述的故事实际上不可能发生，没有人能够使用书中的谎言、卑鄙的方法和计划真正的达到目的。事实上，在每个案例中，这些故事都是可以成为现实而且已经成为现实的，这些事情每天都在世界的某个地方发生，甚至在你阅读此书的时候都有可能。本书中的内容不仅对你的商务信息保护上有所启迪，还可以让你亲自阻挠社会工程师的攻击以保护你的私有信息。 在本书的第四部分，我转变了方向。在这里我想帮助大家建立企业必要的安全策略和安全意识培训，以期将员工被社会工程师利用的可能性降到最低。了解社会工程师的策略、方法和技巧，在不会降低公司的生产效率的同时，帮助你布置合理的控制策略来保护企业的信息资产。 简而言之，我写此书的目的就是要提升大家的安全意识，以应对来自社会工程师的严重威胁，并帮助你的公司和公司员工尽可能的不被利用。或者我应该这样说，不再被利用。 第二部攻击者的手段 第二章无害信息的价值 对大多数人来说，社会工程师的真正威胁在哪里？又该如何保持警惕？ 如果社会工程师的目标是“最有价值奖”――比如，企业智力资产的核心组成。那么也许需要的是更坚固的保险库和全副武装的保安，对么？ 但在现实中，坏人渗透企业安全的第一步就是获得某些似乎无利害关系的信息和文件，这些信息和文件看起来十分平常，也不重要，公司里的人大都不明白为什么这些东西会被限制和保护。 信息的隐藏价值 社会工程师十分重视企业中许多表面上看去无利害关系的信息，因为这些信息是他能否披上可信外衣的至关重要的因素。 在这一章里，我将通过让读者“亲身”经历攻击过程，来展示社会工程师的攻击手段。有时从受害人的角度来表现情节，让读者以当事人的身份估计自己（或是你的同事和员工）可能会做出的反应。而更多的时候，让读者从社会工程师的角度来经历攻击过程。 第一个故事着眼于金融行业的一个漏洞。 信誉支票(creditchex) 曾经有一段很长的时期，英国的银行系统十分闭塞，大街上一位诚实普通的市民并不能随便走进银行而直接申请一个银行帐户。银行不会把他当做客户，除非他带有某位正式银行客户的推荐信。 当然，这与如今的表面上人人平等的银行机构大不一样。如今办理银行业务没什么地方比友善、平等的美国更方便了，任何人都可以走进银行轻松的建立一个日常账户，是这样么？ 并非如此。事实上可以理解，银行很难为一个才开过空头支票的人建立账户，这很自然，同样还有那些有着抢劫银行和挪用账款记录的人。这就是一个银行对其潜在客户瞬间做出好坏判断的实际例子。 与银行有着重要业务联系的公司中，有一种机构专门为银行提供这类信息，我们把这种机构称之为“信誉支票”。它为客户提优质的服务，但同许多公司一样，它也会“无心”的为“有心”的社会工程师们提供便利的服务。 第一个电话：吉姆?安德鲁斯(kimandrews) “国家银行，我是吉姆，您是想要开一个帐户么？” “嗨，吉姆，我想请教个问题。你们与信誉支票打交道么？” “是的。” “你们给信誉支票打电话时，怎么称呼你们提供的号码？是叫‘交易号’(merchantid)么？”短暂的沉默，基姆在衡量这个问题，对方是什么意图，她是否应该回答。打电话的人不容对方思考接着问：“是这样，吉姆，我在写一本涉及私人调查的书。” “是的。”她有了回答的信心，因为她还是愿意帮助一个作家的。 “就叫“交易号”，对么？” “啊，嗯。” “好的，很好。我是想确认我的书中使用了正确的专业用语，谢谢你的帮忙，再见，吉姆。” 第二个电话：克瑞丝?塔伯特(christalbert) “国家银行，开户处，我是克瑞丝。” “嗨，克瑞丝，我是阿莱克斯。”打电话的人说，“我是‘信誉支票’的客服代表，我们在做一项改善服务质量的调查。能耽误您几分钟么？”克瑞丝表示愿意，打电话的人继续：“好的。你们部门营业时间是多少？”她给予回答，并接着回答下面的一系列问题。 “你们部门有多少人使用我们的服务？” “大约多长时间给我们打一次咨询电话？” “您用的是我们哪一个800免费电话号码？” “我们的客服代表服务态度好么？” “我们对业务的响应时间如何？” “您在银行工作多长时间了？” “您通常使用的交易号是多少？” “您是否发现过我们提供过的信息不准确？” “如果您对我们的服务有所建议，建议是什么呢？”最后： “如果我们把定期调查表寄到你们部门，您会填写么？” 她表示同意，然后彼此简单对了几句话，电话挂掉，克瑞丝继续她的工作。 大中小 第三个电话：亨利?麦克金赛(henrymckinsey) “信誉支票，我是亨利?麦克金赛，需要帮忙么？” 打电话的人表明自己是国家银行的职员，并报出正确的交易号，以及他想查询的人的名字和社会保险号。亨利要求出生日期，他也报上。不一会儿，亨利看着自己的计算机屏幕读道：“韦尔斯?法果在1998年报过一次nsf”――客户账款不足（nonsufficientfunds），支票已开出，账户里却没有足够钱支付的银行常用专业用语。 “自那之后，还有资金往来么？” “没有了。” “有没有申请其他账户？” “我看一下。有的，两次，都在上个月。一次是在芝加哥第三联合信用会（thirdunitedcreditunionofchicago），”他断断续续地读出第二个地方，斯卡奈塔第共同投资（schenectadymutualinvestments），他不得不逐字母的将名称拼出。“纽约州。”他最后补充道。 工作中的私人侦探 所有的这三个电话都是同一个人打的，一个私人侦探，我们且称他为奥斯卡?格瑞斯（oscargrace）吧。格瑞斯有了一位新客户，他的首批客户其中之一。几个月前还是名警察的格瑞斯发现他的新工作有些做起来易如反掌，有些则对他的智力和创造性是个挑战，这件案子无疑很具有挑战性。 小说中的冷面神探――塞姆?斯贝兹（samspades）和菲利浦?马洛斯（philipmarlowes），在漫长的夜晚久候在汽车里诱捕一位骗人的伴侣（译者注：塞姆和菲利浦都是著名小说和电影中的人物），现实中的私人侦探也做同样的事情。他们为相互敌对的伴侣之间打探消息，也许没小说中写得那么夸张，但重要性却一点不差。他们的方法主要是依靠社会工程学的技巧，而不是坐在车子里与守夜的困倦做斗争。 格瑞斯的新客户是一位看起来从不缺少衣服和珠宝的女士。一天，她走进他的办公室，在唯一的一把未堆着文件的皮椅上坐下来，把她的古琦（译者注：i，意大利名牌）手包放到桌子上，商标冲着他的脸。这位女士告诉格瑞斯，她想跟他的丈夫离婚，但“有一点小麻烦。” 他的丈夫比她早了一步，已经从两人的储蓄帐户中把存款提了出来，并从代理公司（译者注：专门从事为客户买卖股票和债券的公司）的账户中提走了更大的款项。 第5章 她想知道他们的钱到哪里去了，她的离婚律师对此无能为力。格瑞斯猜想她的律师是那种身居住宅区高楼大厦的法律顾问，才不会为这种“钱到哪里去了”的烂事自找麻烦。 格瑞斯有办法么？ 他向她保证这是小事一桩，接着报出价格，列出费用，并收了一张支票做为第一笔佣金。接下来，他要面对此事了。如果你以前从未处理过这样的事情，并根本不知道如何跟踪一笔资金的来龙去脉，你该从何做起呢？一步一步地往前挪？好吧，我们来讲格瑞斯的故事。 我知道信誉支票以及银行与其的联系，我的前妻曾在银行工作。但我并不知道那些专业术语和业务过程，而向我前妻打听则是浪费时间。 第一步：了解专业术语，设计出获取信息时所需要的对话，以便听起来不会露出马脚。我给银行打电话时，第一位年轻的小姐，吉姆，在我询问他们如何向信誉支票确定自己身份时就有所迟疑，她犹豫着，不知道是否应该告诉我。我被难住了么？才不。事实上，她的犹豫给了我一个重要的线索，提醒我必须给她提供一个可信的理由。当我骗她说为写一本书而做的调查时，便打消了她的怀疑。声称自己是一位作家或电影剧本作者，可以让人放松警惕。 她知道一些有用的信息，比如信誉支票如何确定打电话人的身份，你可以查询哪些信息，最重要的――吉姆所在银行的交易号。我已准备好提出这些问题，但她的犹豫造成了麻烦。吉姆相信了写书的故事，可她已经有所疑心。如果她更配合些，我就会多问些操作细节了。 专业术语 马克（mark）：受骗者 激警（burnthesource）：攻击者如果让对方看出来攻击的意图称为激警。一旦对方有所警觉并通知其他人员，以后再想套出类似的信息就十分困难了。 你必须依靠自己的感觉，仔细的倾听马克的说话内容和说话方式。这位小姐看起来就十分聪明，如果我提出很多的敏感问题，她一定会敲响警钟的。即使她不知道我是谁，我用哪个号码打过来，也不要让任何人注意到有人在打探消息而有所警觉。这是因为我们不想激警，有可能还需要给这个地方打电话的。 我总是留意那些能够帮助我了解一个人配合程度的微小迹象，其态度各异，从“你听起来真是一个好人，我相信你所说的每一句话”到“打电话给警察，通知国民警卫队，这小子要倒霉了。” 我发现了吉姆的警觉，于是我打电话给另一个人――克瑞丝。在我的第二个电话中，调查表的把戏很能迷惑人。我把重要的问题插进可以建立信任感的无关紧要的问题中，在信誉支票的交易号问题之前，我通过问她在这家银行工作多久了这样一个私人问题，做了一个最后的小测试。 私人问题就像一颗地雷，有些人会毫不注意的踩上去，有些人则知道它会爆炸，赶紧躲开。因此，如果我问及一个私人问题，她在回答的语气上没有变化，这就意味着她很可能没有对提问产生怀疑，我可以在她没有疑心的问题之下安全地提出关健问题。 一个好的私人侦探还知道，千万不要在得到关键信息后马上结束谈话。多问两三个问题，小聊一会儿，然后再说拜拜。如果对方稍后想起你提过的问题，很可能是你最后提出的问题，其它的通常会忘记。 这样，我从克瑞丝那里得到了他们的交易号和他们查询时所用的电话号码，如果当时我再多问些信誉支票的事，我会更高兴的。但没有进一步冒险，也许更好。 如同有了一张空白支票，无论什么时候我都可以从信誉支票那里获得我需要的信息，甚至不用付费。从前面的情况看出，信誉支票的客服代表十分愿意为我提供信息，于是我知道了我客户的丈夫最近在两个地方申请建立账户。那他将要离婚的妻子寻找的那笔资产在哪里呢？无论在哪家银行，信誉支票都会将其列出吧？ 过程分析 整个过程都基于社会工程师的基本策略之一，获得公司职员认为无关紧要的信息（实际上它是有用的）。第一个银行职员肯定了打电话给信誉支票时确认身份的术语，第二个职员提供了电话号码和最至关重要的信息――交易号。透露这些信息对于她们来说似乎是无所谓的，毕竟她们认为与之交谈的是信誉支票的工作人员，把号码说出来又有什么不对呢？ 前两个电话为第三个电话打下基础，格瑞斯已经具备给信誉支票打电话需要知道的一切信息，于是冒充信誉支票的客户――国家银行，轻松地查询信息。 格瑞斯窃取信息的技巧丝毫不逊于一个高超的骗子诈骗钱财时所用的手段，在了解人方面格瑞斯久经磨练。他懂得把关健信息藏在无关紧要的信息中，也知道在套出交易号之前用私人问题来测试对方的配合程度。 第一个银行职员在确认信誉支票专业术语上的错误几乎是最难防范的，这种专业用语在银行业几乎人人都知道，因此显得无关紧要――无害信息最普遍的表现形式。但第二个职员，克瑞丝，不应该在确定打电话人的身份真实与否之前，就非常乐意的回答问题。她至少应该询问对方的名字和电话号码并拔回，这样如果日后发生问题，她还有一个打电话人所使用电话号码的记录。在这个案例中，拔回这样的一个电话还会给攻击者假扮信誉支票服务人员造成很大的困难。 米特尼克信箱 这个案例中的交易号相当于一个密码，如果银行工作人员将其与自动取款机的个人识别码（pin）一样看待，便会对它的敏感性给予重视。你所在的机构中有没有大家没有给予重视的编码和数字呢？ 用以前记录的银行电话号码给信誉支票回拔一个电话（不要用对方提供的号码），以验证对方是否在那儿工作，信誉支票是否正在做一项客户调查，这样的电话还是有必要打的。现代社会人们的工作时间都很紧张，而且这样的确认电话会占用不少时间，考虑到现实中的实用性，建议工作人员在对对方的目的性有所怀疑时打回一个确认电话。 工程师的圈套 很多人都知道，猎头公司使用社会工程学来扩大业务范围，这里有一个例子： 在90年代末，某个不怎么道德的职业介绍所签了一家新客户，一家正在寻找有通讯行业工作经验的电气工程师的公司。负责这个项目的经理是一位女士，有着有磁性的嗓音，和充满诱惑力的言谈举止，这使得她在电话里很容易获取别人的好感和信任。这位女士准备对移动电话服务提供商进行一次偷袭，以期找到一些可能会投奔到竞争对手那里的工程师。她当然不能直接给接线员打电话说：“我要找五年经验的工程师”，那样她的动机会立刻暴露的。她通过询问看上去无关紧要的信息，电话公司人人都可以告诉别人的信息，巧妙的发动了这次袭击。 第一个电话：接线员 攻击者使用迪迪?桑德斯这个名字给移动电话服务商的总机打了一个电话，对话情形大致如下： 接线员：下午好，我是玛丽，您有什么事情？ 迪迪：请帮我接运输部好么？ 接：我不一定能找到这个号码，我查一下目录，您是哪位？ 迪：我是迪迪。 接：您在公司大楼里还是在……？ 迪：不，我在外面。 接：你是迪迪……？ 迪：迪迪?桑德斯，我以前知道运输部的分机号，但我现在忘了。 接：稍等。 为了减少怀疑，在这里迪迪设计了一次谈话，让对方认为她是内部人员，熟悉公司的情况。 接：您在哪里办公？主街商厦（maince）还是望湖大厦keview）？ 迪：主街。（停顿一下）电话是805-555-6469。 有可能给运输部打电话后也得不到所需的信息，迪迪又要了资产部的电话，作为备用。接线员帮迪迪接到运输部，但线路正忙。于是，迪迪又问第三个电话，位于得克萨斯州首府奥斯丁的收款部号码。接线员让她等一会儿，并放下电话。接线员有所警觉了么？她在向保卫部门报告她接到一个可疑电话么？才不，迪迪一点都不担心。接线员只是有些不耐烦了，但这是她再平常不过的日常工作了。一分钟后，接线员拿起电话，查到收款部的号码，给迪迪接通。 第二个电话：派基（y） 对话大致如下： 派基：收款部，我是派基。 迪迪：嗨，派基，我是橡木城（thousandoaks）的迪迪。 派：嗨，迪迪。 迪：你好吗？ 派：还好。 迪迪接着使用企业内部的习惯用语来描述成本核算代码――给一个特定的机构或工作组分配费用的代码（译者注：常在报销费用时填写）。 迪：很好。我有个问题问你。我如何才能找到某个部门的成本中心（costcenter）？ 派：你必须联系到那个部门的预算师。 迪：你知道谁是橡木城总部的预算师么？我在填表，但我不知道该填哪个成本中心？ 派：我只知道要找成本中心的代码时，打电话给预算师。 迪：你们部门在德克萨斯有成本中心么？ 派：我们有自己的成本中心，但我们没有完整的成本中心列表。 迪：成本中心的代码是多少位？比如，你们的成本中心？ 派：嗯，这样，你是9wc还是sat？ 第6章 迪迪并不知道这是指哪个部门或工作组，但这并不重要，她回答道： 迪：9wc。 派：那一般是四位数字。你说你在哪里？ 迪：橡木城总部。 派：哦，这里有橡木城的代码。1a5n，n是nancy的n。 仅仅与愿意帮忙的人打交道到足够时间，迪迪便得到了她需要的代码，这个代码就是所谓的被人认为是无需保护的信息，因为它对企业外面的人来讲，似乎没有任何价值。 第三个电话：有用的错误号码 迪迪的下一步是把成本中心的代码当做筹码来开发更大的价值。她先给资产部打电话，假装是故意拔错的电话。以“不好意思，但……”做为话头，她声称自己丢失了公司的通讯录，看看对方可不可以帮她弄一个新的。对方说公司已将通讯录放在内部网站上，打印出来的已经过期了。迪迪说她还是想要一份复印件，对方让她打刊印部的电话，并主动查到刊印部的电话（也许是想让这位声音性感的女士多在电话上呆一会儿吧）然后告诉了她。 第四个电话：刊印部的巴特 在刊印部，她与一个叫巴特的人谈上了话。迪迪说她是橡木城的，他们新来了一位顾问，需要一份公司的通讯录。她告诉巴特，对于这位顾问来说，一份复印件会让工作更顺利些，即便有些过期。巴特告诉她需要填一份申请单然后再寄给他。迪迪说她手头没有申请单，而且事情很急，她甜言蜜语地问巴特是否能发个善心帮她填这个单子？他有些过分热心地同意了，接着迪迪报出单子上的各项内容。在报出虚构的签单人地址时，她慢慢地说出了一个被社会工程师称为“秘密通信地”的号码，在这里是一个邮箱号，商用的，她的公司为类似这种情况而租用的邮箱。这时，早先的准备工作派上了用场。邮递这份目录会产生费用，迪迪给出了橡木城成本中心的成本核算代码：“1a5n，n是nancy的n。” 几天后，企业通讯录寄到，迪迪发现比她期望的还要好。上面不仅有名字和电话号码，还有人员之间的工作关系，整个企业的组织结构。 这位有着磁性嗓音的女士可以通过拔打人员电话开始她的猎头行动了。她使用社会工程师久经磨练的谈话技巧，骗取了开始行动所需的信息，她现在已经准备好收获了。 专业术语 秘密通信地（maildrop）：社会工程师把租来的邮箱称为秘密通信地，通常是用假名字租用的，用来接收受骗者发来的文件和包裹。 米特尼克信箱 犹如拼图游戏，每条信息本身并没有什么联系。然而，当把它们放在一起时，一个清晰的画面便出现了。在这个案例中，社会工程师看到的画面就是那家公司的整个内部结构。 过程分析 在这次社会工程学的攻击中，迪迪以获得目标企业的三个部门电话为开始。这很容易，因为她询问的电话号码并不是秘密，尤其是对于内部工作人员。一个社会工程师要听起来像一个内部人员，此例中的迪迪就很善此道。一个电话号码帮她弄到成本中心的核算代码，而后者用来获取公司职员的通讯录。她使用的主要工具是：友善的语气、企业专业用语，以及对那个最后的上当者抛一个口头上的媚眼。还有一件无法轻易得到的必不可少的工具――社会工程师的操纵能力，它来自于广泛的实践，和老一辈骗子们口头传下来的经验。 更多的“无价值”信息 除了成本核算代码和内部分机电话，还有哪些看似无用但对你的敌人来说非常有价值的信息？ 皮特?艾伯尔（peterabel）的电话 “嗨，”电话的另一端说：“我是帕克斯特（parkhurst）旅行社的汤姆，您去往旧金山的机票已订好，您要寄过去还是您来拿？” “旧金山？”皮特说：“我没打算去旧金山。” “您是皮特?艾伯尔么？” “是的，但我没有任何旅行的安排。” “嗯，”对方友好的笑笑，“您确定您不想去旧金山么？” “如果你认为你能跟我老板谈谈此事的话……”皮特对这次友好的谈话开起玩笑。 “这听起来有些乱，”对方说：“我们的系统依照员工号码登记旅行安排，也许有人把号码弄错了，你的员工号码是多少？” 皮特欣然报出他的号码。为什么？因为这如同他平时所填的公司里很多人都会看到的人员登记表，人事部、工资名单，很明显，还有外面的旅行社。没人把员工号码当做秘密。这会有什么影响吗？ 这很难说清。两到三个信息也许就可以让社会工程师装扮成他人扮演一场好戏了。弄到一个工作人员的名字和他的电话号码，也许为了保险起见，再找到他上司的名字和电话号码。即使一个不怎么出色的社会工程师也会尽可能的搜集所需要的信息，以使他给下一个目标打电话时听起来可信。 如果昨天有人给你打过电话，声称他是公司另一个部门的职员，并给出一个含糊的理由来询问你的员工号码，你很轻易的就告诉他了么？ 还有，你的社会保险号呢？（译者注：美国、加拿大居民的身份代码，类似于中国的身份证号。） 米特尼克信箱 这个故事的寓意在于，不要把任何个人和公司内部信息或是识别标识告诉他人，除非你听出她或他的声音是熟人，并确认对方有这些信息的知情权。 预防措施 公司有责任让员工意识到对非公共信息的管理不善会带来严重的后果。一个深思熟虑地信息安全策略，再加上正确的教育和培训，将会极大的提升员工正确处理企业内部信息的意识。资料数据的分类策略也将帮助你实施对信息使用的正确控制，如果没有分类策略，所有的内部信息都应被视为保密，除非另做指定。 采取以下步骤来防止公司看似无害信息的泄漏： 信息安全部门应操办意识培训来讲解社会工程师所使用的手段。其中一个方法，正如上文所提到的，就是获得看似不敏感的信息，然后把它当做筹码来取得短暂的信任。每一个员工都应该意识到，当一个知道公司办事程序、专业用语和内部标识的人打来电话时，并不意味着他或她就可以知道所查询的信息。对方可能是公司以前的员工或是知道公司内部一般情况的合同工（译者注：某些大公司将员工分为regr和contractor，前者类似事业单位的固定工，后者类似合同工）。因此，每个企业都有责任制定适当的验证方法，在员工与他们不认识的人通电话或当面交谈时使用。 负责制订资料分类政策的人应该仔细检查信息的分类，注意那些正式员工可以访问到的看似无害却可能会导致敏感信息泄漏的信息。尽管你从未把现金卡（atm）的密码告诉过别人，但你曾把开发公司软件产品的服务器告诉过别人么？这个信息可不可以让一个人装扮成企业员工合法地访问企业网络呢？ 有时仅仅知道内部的专用术语，就可以让社会工程师显得知道很多并可以信赖，攻击者常常利用这个普遍的错误观念来操纵受骗者。比如，交易码是银行开户处用工作人员每天都使用的认证标识，这个标识的意义与密码一模一样。如果每一个工作人员都认识到它的意义――唯一用来确认查询人身份，他们也许会更加谨慎的对待它。 米特尼克信箱 正如人所说――即使一个真正的妄想狂也可能有敌人，我们也必须假定每个企业都有它的敌人――以网络设施为目标危及商业秘密的攻击者。不要只把计算机犯罪视作一个统计数字，应尽早地布置深思熟虑的安全操作方案和策略，这样才能对企业进行正确的控制以加强防范。 没有公司或只有很少的公司，会将首席执行官或董事长的直拨电话告诉别人。尽管大多数公司并不在意在内部公开电话号码，尤其对于似乎是内部员工的人，实施这样一个政策还是必要的：禁止对外公开内部职员、合同工、顾问和临时雇员的电话号码。 部门或工作组的财务制度，还有企业通讯录（无论是复印件还是资料文件或是内网上的电子版），都是社会工程师常见的目标。每个企业对这类信息都要有一个成文的使用政策，并让所有的员工都知道。保安人员则应保留一份备查日志，用以记录敏感信息透露给企业外人员的情况。像员工号码这样的信息，它本身不能用做任何形式的验证，内部员工不仅要验证查询信息者的身份，还要确定对方是否具有相关信息的知情权。 在进行安全培训时，试一下这个方法：无论什么时候在接受一个陌生人询问时，首先要礼貌的拒绝，直到确认对方身份。然后，在做好心人之前，先遵循公司对非公共信息的验证和使用政策。这种工作方式也许违背了我们乐于助人的天性，但多一点有益的怀疑也许是必要的，以免成为社会工程师的下一个受骗者。 正如本章故事中所叙述的，看似无害的信息也许会成为打开企业最有价值的秘密信息的钥匙。 电话公司的人都知道，对于非公开的号码查询信息只能让已授权的电话公司知道，线路分配中心的的号码只能告诉本公司的职员。然而，即使他们从不会将这些信息公之于众，谁又能拒绝帮助一位身负繁重工作任务的公司员工呢？她对他保罗起了同情之心，她今天的工作也很不顺，于是她小小地破了个例，来帮助这个遇到麻烦的同事。 第7章 她告诉他电缆线的配对，以及每个分配到相应地址的号码。 米特尼克信箱 人们都很容易相信自己的同事，尤其是在其要求满足合理的测试之后。社会工程师便利用这种知识从受骗者身上获取信息以达到他们的目标。 过程分析 正如你不断地在这些故事中看到的，企业专业术语的知识和它的结构组织――各个办公室和部门都是做什么的、具备什么样的信息，是一个优秀社会工程师的骗术箱中的必备品。 逃亡者 一个我们将称之为弗兰克?帕森斯（frankparsons）的人已经在逃多年，作为60年代地下反战组织的一分子，他仍然被联邦政府通辑。在餐馆里，他总面对着门口坐着，习惯于左顾右盼，偶尔会被人注意到神色紧张。 弗兰克每隔几年都会搬家。有一次，他来到一个陌生的城市，准备找个工作。对于弗兰克这样有着精湛计算机技术的人（同样，还有娴熟的社会工程学技术，即便他从不会把这写到应聘简历上），找到一个不错的工作还是很容易的。只要不是处于经济特别紧张的时期，具备良好计算机知识的人很容易得到施展才能的机会并摆脱困境。弗兰克很快的看中了一份薪资优厚的工作，一家庞大、高级的长期疗养院，而且离他住的地方很近。 他想，这真合适。但当他埋头苦干地填写申请表时，忽然碰到一个麻烦。雇用方要求应聘者提供一份犯罪历史记录的复印件，这份复印件他只能亲自去州警察局去拿。在工作申请表里就包含着一张需要这个复印件的表格，上面还有一个用来按指纹的地方。即便他们只需要右手食指的指纹，但如果把这个指纹与联邦调查局数据库中的指纹做比较的话，他可能很快就要到联邦政府资助的地方（译者注：指监狱）食堂工作了。 另一方面，对于弗兰克来说，还可能（仅仅是可能），仍然平安无事，州警察局也许根本不会把指纹样发到联邦调查局。但他如何获知这一点呢？ 怎么办？他是一个社会工程师，你认为他会怎么做呢？ 弗兰克往州警察局拨了一个电话：“嗨，我们正在为州司法部执手一项研究，调查是否有必要实施一个新的指纹认证系统。可以找一个你们内部熟悉此项工作的人帮我们一下么？” 当本地的专家拿起电话时，弗兰克询问了一系列有关他们使用的指纹系统的问题，以及检索和储存指纹数据的能力。他们的系统是否出过故障？他们在国家犯罪信息中心（ncic）还是仅在本州进行指纹检索？这套系统对于每个人来说容易学习使用么？ 狡猾的弗兰克悄悄地得到了其中的关键信息。答案对他来说如音乐般动听――不，他们不在ncic检索，他们只在州犯罪信息索引（cii）中查询。 米特尼克信箱 精明的信息骗子想获悉法律执行程序方面的问题时，从不会迟疑于给联邦、州或是地方政府打电话。利用这些唾手可得的信息，社会工程师很可能会绕过企业的常规安全检查。 那就是弗兰克所需要知道的，他在这个州没有任何犯罪记录。因此，他提交了他的工作申请，并被录用。而且，一直也没有任何人出现在他的办公桌前对他说：“这些先生是联邦调查局的，他们想跟你谈谈。” 据弗兰克所说，他后来成为那家公司的一名模范雇员。 放到门口 尽管我们有美丽的无纸办公神话，但在企业，每天还是继续打印出大量的纸张，而纸上打印的企业内部信息很容易泄露，即使上面印着机密并采取了安全防范措施。这里有一个故事，它将显示社会工程师如何获取你最机密的文件。 “环回”欺骗 电话公司每年都要刊印一本叫做测试号码目录的电话册。至少以前是这样，由于我还处于监督释放期（译者注：类似假释），我并不打算去问电话公司是否还在这样做。电话盗打者十分重视这本电话册，因为它包含了一个列表，上面列出了所有企业工人、技师使用的受到严密保护的号码，以及其他一些总是处于忙音的中继线测试和检查号码。在这些测试号码当中，有一个术语称做“环回”（loop-around）的号码，尤其有用。电话盗打者用它做为一个找到其它同行聊天的方法，对他们来说这无需成本。电话盗打者还把它用来做为给予对方的回电号码，比如银行。一个社会工程师会告诉银行的人，打这个电话号码到他的办公室，当银行按这个号码（环回号码）打过来时，电话盗打者就可以接到，同时还很安全，因为依据这个号码无法追踪到他。 测试号码目录提供许多极其有用的信息，从而被对信息无比渴求、内分泌激素发达的电话盗打者所利用。因此，每当新的目录发布时，都会被大量的喜欢探究电话网络的年轻人所觊觎。 米特尼克信箱 为保护企业的信息资产，企业里的每个人都需要而进行安全培训，而不仅仅是那些通过电子线路或是物理接触而访问到企业信息资产的人。 史蒂夫的诡计 无疑，电话公司不会轻易地让人得到这些目录。因此，电话盗打者必须想出创造性的办法。他们怎么做呢？一个对目录有着强烈渴望的年轻人可能会设计这样一个场景…… 某日，南加利福尼亚秋天的一个傍晚，一个我称之为史蒂夫（stevie）的人给一家小电话公司的总机室打电话，这个总机室所在的大楼负责服务区内所有家庭及企业电话线路的连接。当值班的接线员拿起电话时，史蒂夫称自己是电话公司刊印和发行打印资料部门的人。“我们刊印了你们新的测试号码目录，”他说。“但出于安全考虑，如果我们没有收到旧的目录，就不能给你们发新的。可送目录的人迟到了，如果你们把旧的目录放到门口，他经过时就能取到，并放下新的，然后继续赶路。” 毫不怀疑的接线员似乎觉得这很合理，于是照做，把目录放到大楼门口，虽然目录的封皮上用红字清楚地印着“公司机密――无用时销毁。” 史蒂夫开车过来，小心的察看四周，是否有警察或电话公司的保安人员藏在树后或在停泊的汽车里监视。没有人。他装作不经意地拾起那本令人垂涎的目录，开车走了。 这就是社会工程师轻易得到他想要的东西的另一个例子，这里就使用了那个简单的原则――“直接索取”。 谎言攻击 不只是企业的资产处于社会工程师设置骗局的危险之下，有时，企业客户也会成为受害者。做为客服人员，不可避免的会受到挫折、讥笑和无辜的误解，有些人还会给企业的客户带来不良后果。 珍妮?爱克顿（janieacton）的故事 感恩节的一周，打来了一个不同寻常的电话。打电话的人说：“我是客户名单部的爱德华多（eduardo），我正与一位女士通着电话，她是执行办公室一位副总裁的秘书，她需要知道一些信息，而我的计算机坏了。我接到了人力资源部一位姑娘发来的一封写着‘我爱你’的邮件，当我打开附件时，就再也不能使用我的电脑了。病毒，我中了一个愚蠢的病毒。就是这样，你能帮我查一下客户信息么？” “当然，”珍妮回答。“它毁了你的计算机么？真糟糕。” “是啊。” “我该如何帮你？”珍妮问。 在这里，攻击者为了使自己听起来可信，便对想知道的信息预先做了调查。他了解到他所需的信息存储在一个叫做“客户名单信息系统”（cbis）的系统中，并且他还知道了工作人员与系统的关系。他问：“你能从cbis中查一个账户么？” “可以，账户号码是多少？” “我不知道。我需要你用姓名来查。” “好的，什么姓名？” “希瑟?玛宁（heathermarning）。”他拼出名字，珍妮把它输入。 “好的，我查到了。” “很好。账户调出来了？” “嗯哼，调出来了。” “账户号码是什么？”他问。 “你有笔么？” “准备好了。” “账户号码，baz6573nr27q。” 他重复了一遍号码，然后问：“服务地址是什么？” 她告诉他地址。 “电话呢？” 珍妮也欣然地读给他。打电话的人向她致谢，并说再见，然后挂线。珍妮继续下一个电话，再也不去想这件事情。 亚特?锡利（artsealy）的调查方案 亚特?锡利放弃了为那些小出版社做自由编辑的工作，他找到了一个更能赚钱的方法，为作者和相关业务做调查。不久，他发现他的工作内容越是接近非法与合法之间的模糊界限，他就越可以收取更高的费用。从没有想到过，当然也从不知道这就是社会工程，亚特使用着与每个信息经济人都使用着的类似方法和技术，成为了一名社会工程师。他最终证明自己有此方面的天分，懂得了大多数社会工程师必须从他人身上学来的技巧。不久，他就毫无罪恶感的跨过了非法与合法之间的界限。 一个位正在写一本尼克松年代时关于政府内阁方面的书的作家打电话给我，说他想找一个能够挖掘出威廉?西蒙（williame.simon）内幕消息的调查人。威廉?西蒙，曾任尼克松时期的财政部长。西蒙先生现已去世，但这位作家知道他的一名女下属的名字，并确切的知道她仍然住在华盛顿特区，可不知道详细地址。 第8章 她的名字也未登记电话，或者至少是没有列出她的电话，这就是他之所以联系我的原因。我告诉他，好的，没问题。 这就是那种通常一两个电话就可以完成的工作，如果你知道自已是在做什么的话。通常情况下，每个地方上的公共事业公司都有可能查到这样的信息，当然，这需要些小小的谎言，但偶尔撒一个小谎无所谓吧，对么？ 我喜欢使用不同的方法，只为了让事情有趣些。“我是执行办公室的某某……”这样的开场白，一直都很好用。同样还有这次使用的“我正在与某副总裁办公室的人通话”也不错。 你必须充分发挥社会工程师的潜能，把握电话另一端将与之打交道的人的配合性。这次我幸运的碰到了一位友善、热心的女士，仅打了一个电话，就得到了地址和电话，任务完成。 米特尼克信箱 绝不要以为所有的社会工程学攻击都会把骗局设计的十分复杂，以防被人轻易识破。有些攻击来去匆匆、得手即逝，更简单的攻击仅仅是，直接索取。 过程分析 珍妮肯定知道客户信息属于敏感信息，她绝不会与一位客户谈论另一位客户的账户，也不会向外部泄露客户的私人信息。但是很自然地，当一个公司内部的人员打来电话时，情况便不同了。做为公司团队的一员，同事之间最重要的是互相帮助，以完成工作。那个客户名单部的工作人员，如果不是病毒把计算机搞坏，他自己完全可以查阅客户信息，她自然很乐意帮助一个同事。 亚特渐渐地接近了他真正想寻求的关健信息，在这一过程中他还提出了他不必知道的问题，如账户号码。然而，这个账户号码也为他提供了一个退路。万一珍妮有所警觉，他再打第二个电话时，成功的可能性便大大的增加了。因为，这个账户号码会让他给下一个工作人员打电话时，听起来更加可信。 从未有人向珍妮撒过这样的谎，打电话的人根本就不是客户名单部门的人。当然，珍妮也不应被责怪。她并不熟悉那条“在谈论客户档案信息之前，一定要知道与之谈话的人是谁”的规则，没有人告诉过她象亚特这样打来电话的危险性，公司里也没有制定这样的政策，她也从来没有培训过这方面的内容，而且她的主管也从未提及过。 预防措施 企业安全培训的一个要点就是：如果一个来访者或是打电话的人知道公司某人的名字，或是知道一些内部用语或业务程序，并不意味着他的身份不值得怀疑。而且绝对不要认为他是可信任的，从而把内部信息泄露给他，或是让他访问到你的计算机系统和内部网络。在安全培训中需要反复强调：一旦有所怀疑，必须确认、确认，再确认。 在过去，能够访问到企业内部信息是拥有权力和级别的标志。工人们往熔炉里添燃料、运转机器，员工们打字、填写报告，工头或是上司告诉他们做什么，何时做，如何做。只有工头或上司才知道一个班上的每个员工生产多少零件，工厂这个星期、下个星期、这个月底需要生产出什么颜色、什么尺寸、什么数目的产品来。 工人们负责机器、工具和原材料，老板们负责处理信息。工人只需要知道与本职工作有关的信息。 那时的情况与现在有所不同，不是么？现在，许多工厂的员工都使用某种计算机或是由计算机控制的机器。对大多数人来说，重要的信息都直接放在使用者的桌子上，以便于他们履行自己的职责来完成工作。在现代社会，几乎每一名员工都离不开处理信息的工作。因此，企业的安全策略应遍布企业的各个地方，而无所谓职位的高低不同。每个人都应该认识到，不仅是上司或管理人员拥有攻击者想追寻的信息。今天，每个层次级别上的职员，甚至是不使用计算机的人，都有可能成为攻击者的目标。而公司新近雇用的客服人员则是社会工程师最容易突破的薄弱环节，企业的安全培训和安全策略务必要加强这方面的注意 第三章正面攻击――直接索取 很多时候，社会工程学的攻击是十分复杂的，包括一系列的步骤和精心的策划，并同时具备操作技巧和透彻的背景知识。但令人惊奇的是一位技艺高超的社会工程师经常可以使用简单、直接、正面的攻击方式来达到目标。直接了当的开口要求所需的信息，也许仅此一点就已经足够，正如下文中你即将看到的。 快速搞定线路分配中心 想知道某人未登记的电话号码么？一个社会工程师可以告诉你半打的方法（你也可以在本书中的其它故事内容中看到），但最简单的办法就是拨出这样的一个电话…… 请告诉我号码 攻击者拨打线路分配中心（mechanizedlineassignmentcenter）未公开的电话公司号码，接听电话的是个女子，攻击者说道：“嗨，我是保罗?安东尼（panthony），我是线路员。是这样，这里有一个接线盒在火灾中烧毁，警察认为是有人故意烧掉自己的房子来骗保险。他们让我一个人来为二百对接线柱接线。现在，我真得需要帮忙了。南大街6723号的线路是怎样分配的？” 这些故事可能会导致你认为我把业务中接触到的每一个人都看成十足的傻瓜，都很乐意地、甚至是渴望着把他或她所拥有的每一个秘密泄露出去。社会工程师知道，这是不可能的。为什么社会工程的攻击容易得手呢？这不是因为人们的愚蠢或是缺乏常识，而是因为，我们人类很容易被操纵而把信任用错了地方，因此被欺骗。社会工程师早已料到会受到阻力和怀疑，他随时准备着把人们对他的怀疑扭转。一个优秀的社会工程师策划攻击时如同下象棋，预先想到对方可能会提出什么样的问题，从而把合适的答案准备好。他的一个很常用的技巧就是给受骗者建立信任感，一个骗子如何才能获得你的信任呢？相信我，他能够。 信任：欺骗的关健 社会工程师越把情况营造得像普通的业务联系，就越能减少怀疑。当人们没有疑心时，得到他们的信任就很容易了。一旦取得你的信任，如同吊桥放下，城门打开，他就可以入内随心所欲地取得他所需的信息。 注：你也许注意到我在提及社会工程师、电话盗打者和设计骗局的人时，大多数情况下用的是“他”。这不是偏见，这只是反应了一个事实――从事这些领域的人大都是男性。但尽管女社会工程师很少，可这个数字正在增长。不要仅仅因为听到了一位女性的声音而放松了你的警觉，女社会工程师还是有的。事实上，女社会工程师有着独特的优势，利用她们的女性特征来得到对方的配合。本书以后的内容中将会出现少量的女性社会工程师。 第一个电话：安德瑞亚?洛偑兹（andrealopez） 安德瑞亚?洛偑兹在她工作的音像店接到了一个电话，她立刻微笑起来（当一位客户特意打来电话对服务表示满意时，总会让人高兴）。打电话的人说，在他们店里得到了非常好的服务，他想给写封信告诉他们的经理。他询问经理的名字和通信地址，她告诉他名字是汤米?艾里森（tommyallison），并把通信地址也给了他。就在要挂电话时，他又有了一个想法，他说：“我还想写给你们公司总部，那儿的电话是多少？”她也告诉了他。他道了谢谢，并说了些她的服务十分让人满意之类的话，然后再见了。“像这样的电话，”她想，“总能让上班的时间过的快些，如果多有些这样的人就好了。” 第二个电话：吉妮 “欢迎致电音像工作室，我是吉妮，需要帮忙么？” “嗨，吉妮，”打电话者热情的打招呼，听起来就像每个星期都给吉妮通话似的。“我是汤米?艾里森”，863店森林公园的经理。我这儿有一位客户，想租《洛奇5》，可我们这儿已经没有拷贝了，你能查一下你们那儿有么？” 过了一会儿，她回答：“是的，我们还有三个拷贝。” “好的，我问一下客户是否愿意过去，谢谢你。如果有任何需要，请致电汤米，我很乐意为你效劳。” 接下来的几个星期，吉妮又接到过三、四次汤米寻求帮助的电话，这些要求似乎都很正常，他总是十分友善，没有故意接近她的意思。同时，稍稍有些唠叨。如“你听说橡树园的大火了么？一连串的街道都封掉了，”类似的话。对于日常工作来说，这些电话可以让人得到片刻的休息，吉妮总是乐意接到他的电话。 一天，汤米打来电话，听上去有些焦虑，他说：“你们的计算机出过问题么？” “没有，”吉妮回答。“怎么了？” “有个人开车把电线杆撞了，电话公司的修理人员说城市的一部分地区没办法打电话和上网，直到他们修好。” “哦，不会吧。那个人受伤了么？” “他们把他送到救护车上了。别管这些了，我需要你帮个忙。我这儿有一个你们的客户，想租《教父2》，但他没带租片卡，你能帮我确认一下他的信息吗？” “是的，当然。” 汤米说出客户的名字和地址，吉妮在计算机中找到，然后告诉汤米客户的账号。 “有过期未还和欠款记录么？”汤米问。 “没有。” “好的，很好。我手工给他登记一下账户，计算机故障恢复之后再录入数据库。 第9章 而且，客户还想用在你们店使用的维萨卡（visa）付账，但他也没带。他的卡号和有效期是多少？” 吉妮都告诉了他。汤米最后说：“嗨，谢谢帮忙，回聊！” 道伊尔?罗尼甘（doylelonnegan）的故事 罗尼甘可不是一个普通的年轻人，他过去是一个收藏家，欠了不少赌债，如果不是这些赌债弄得他焦头烂额的话，他还会偶尔继续他的爱好。在这个故事里，他仅仅往一家音像店打了几个电话，就得了一笔现金。这听起相当不错，因为他的“客户”没有人知道如何设计这个骗局，他们需要像罗尼甘这类人的知识和才能。 每个人都知道，当他们在牌桌上运气差或是犯错误而输钱时，是不会用支票来代替赌资的。可为什么我的这些朋友们还要跟一个没带钞票的骗子赌钱呢？不要问了，也许他们的智商有点儿问题，但他们是我的朋友，我又能怎么办？ 这个家伙没带钱，于是他们收了他的支票。让你说，他们应该开车把他带到自动柜员机那儿去吧？本应这样做的。但他们没有，他们收了一张支票，3230美元。不用想，这是张空头支票。还有什么其它可能呢？于是，他们给我打电话，问我能帮忙么？我不再用门去挤别人的手指了（译者注：指暴力手段），而且，现在有更好的办法。我告诉他们，我要30%的佣金，看我的本事吧。他们给了我他的名字和地址，我用计算机找到离他最近的音像店。我并不着急，先后打了四个电话来讨好音像店的经理，然后，我就得到了那个骗子的维萨卡号。我有一个朋友开了一间半裸吧（译者注：裸露半身的脱衣舞酒吧），用了50美元，把那个骗子所欠的赌资当做酒吧消费从他的维萨卡上划出，让他给老婆解释去吧。你认为他会找信息卡公司说他没有花这笔钱吗？好好想想。他知道我们知道他是谁，而且如果我们可以拿到他的维萨卡号，他会认为我们还可以做更多的事情，因此，这件事没什么可担心的。 过程分析 汤米打给吉妮的第一个电话仅仅是为了建立信任，当真正的攻击开始时，她已经放松了警惕并认同汤米所声称的身份――另一家连锁店的经理。有什么理由不接受他呢？她已经认识了他。当然，仅仅是通过电话联系，可他们已经建立了工作上的友谊，那是信任的基础。一旦她认为他是可以相信的人――同一家公司的一位经理，信任感就已经建立，剩下的事就顺其自然了。 米特尼克信箱 建立信任的欺骗技术是社会工程学最有效的策略之一，你务必要考虑你是否真正认识与你谈话的人。在一些不常见的情形下，对方很可能不是他自己声称的那个人。因此，我们必须学会观察、思考和提问。 主题变奏：攫取信用卡 建立信任感，不一定非得给受骗者打上一系列的电话，如上文中讲述的案例。我想起一个亲身经历的故事，它建立信任感只用了5分钟。 惊奇吧，爸爸 有一次，我与汉瑞（henry）和他父亲坐在一家餐馆。谈话中，汉瑞责怪他父亲把信用卡号像电话号码一样随便泄露给别人。 “当然，买东西时必须使用信用卡号，”汉瑞说。“但是把你的卡号告诉一家商店，并让他们记录下来，那是非常不明智的。” “我只在音像工作室这么做过，”康克林（conklin）先生说，“但我每个月都会查看我的维萨卡记录，如果他们多收费用，我会知道的。” “当然，”汉瑞说。“但他们一旦知道了你的卡号，别人就很容易弄到了。” “你是指不怀好意的店员么？” “不，我是指任何人，不仅仅是店员。” “你在信口开河，”康克林先生说。 “我可以现在就打电话，让他们告诉我你的维萨卡号，”汉瑞立刻大声回应道。 “不，这不可能，”他父亲说。 “我可以在五分钟之内搞定这件事，就在你的面前，连桌子我都不会离开。” 康克林先生看起来有些紧张，他自己感觉到了这种紧张，但并不想让别人知道。“你根本就不知道你在说什么，”他急促地说，并掏出钱包拿出50美元甩到桌子上，“如果你能做到你说的话，这是你的了。” “我不想要你的钱，爸爸。”汉瑞拿出手机，询问他父亲是哪一个音像店分店，然后打电话给查号台找到分店的电话号码以及谢尔曼橡树园（shermanoaks）分店的电话号码。接着，他打电话给谢尔曼?奥克分店，几乎用了跟上一个故事完全一样的方法，很快得到了经理的名字和分店的店号（译者注：如上文中提到的863分店）。然后，他打电话给登记着他父亲账户的分店，利用刚刚得到的名字和分店店号来假扮分店经理。接着使用相同的手法：“你们的计算机没出问题吧？我们这儿的计算机时好时坏。”听到了她的回答后他接着说，“嗯，是这样，我这儿有一位你们的客户想租一部片子，可我们的计算机现在坏掉了，我需要你帮忙查一下客户的账号以确定他就是你们店的客户。” 汉瑞给出他父亲的名字，使用了一个稍有不同的方法，他请求对方把账户信息读出来：地址、电话，开户日期，然后说：“嗨，是这样，我这儿有一大堆等着的客户，他的信用卡和有效期是多少？”汉瑞一支手在耳边拿着手机，另一支手在餐巾纸上写。打完电话，他把餐巾纸推到瞪着眼睛、张着嘴巴的父亲面前，可怜的父亲看上去完全震惊了，似乎他的信任系统已被完全颠覆。 过程分析 当某个不认识的人询问你某事时，想想自己是什么态度。如果一个衣衫褴褛的陌生人来到你门前，很可能你不会让他进去。如果是一位衣着得体、皮鞋明亮、发型完美，举止优雅并面带微笑的陌生人，你可能就会放松警觉。也许他就是现实生活中的占森（译者注：电影《十三号星期五》中的杀人狂）呢？但你仍然愿意相信他，只要他看起来正当，手里也没有握着餐刀。 米特尼克信箱 人们习惯的认为自己在任何特定的事务中不大可能走进骗局，否则至少也得有理由相信这是个骗局。大多数情况下，我们权衡风险，然后假定别人没有恶意。这就是有教养人的一般行为，至少那些没有被操纵、利用或被骗过一大笔钱的有教养的人这样认为。在儿时，我们的父母告诫我们不要相信陌生人，也许在当今的工作环境下，我们所有的人都就应谨记这个陈旧的规则。 工作中，人们总是会有各种各样的请求。你有这个人的电子邮件地址么？最新的客户名单在哪儿？谁是这个项目本部分的分包商？请发给我最新的计划更新。我需要新版本的源代码。有时，做出这些请求的人你并不直接认识，或是公司其他部门的人，或是他们自己说是其他部门的人。但如果他们提供的信息是正确的，并且看来熟悉公司内情（“玛丽安说……”、“这里是k16服务器”、“……新产计划第26次修订版”），我们便把信任圈扩大他们身上，轻率的满足了他们的请求。 当然，我们也许会有些困惑的问自己：“为什么这个达拉斯（das）分厂的人想知道新的产品计划？”或是“说出服务器的名称会有害处么？”等等这类问题，如果答案看上去合情合理，对方的言行也比较可靠，我们便会放松警惕，恢复相信同事的习惯，并满足（有理由的）对方的请求。 绝不要认为攻击者只会把目标锁定到使用计算机的人身上，收发室的人也可能是目标。“能帮个忙么？把这个放到公司内部的邮袋。”收发室的人可不知道它是一张带有特殊程序的针对首席执行官秘书的软盘。这样，攻击者本人就拥有了首席执行官的邮件拷贝。不会吧？这事情真得会在企业中发生么？答案是，绝对可能。 一美分的手机 许多人都在寻找好的机会，不达目的不罢休。社会工程师不然，他们找到办法使机会变得更好。比如，某公司进行一项诱人的市场优惠活动，社会工程师就会想办法扩大他的利益。 不久以前，一家全国性的无线通讯公司发起了一个大规模的促销活动，只要你登记接受一种资费方式，便可以得到一部全新的手机，只收一美分。对于一个精明的消费者来说，在登记一种资费方式之前，有好多问题要问清楚。通讯服务是模拟还是数字的，或是两者结合？每个月的免费通话时间是多少？是否包含漫游费……等等，等等，尤其重要的是资费合同时限――你承诺的资费方式是多长时间，几个月还是几年？ 想像一个这样的情景，一位费城（phdelphia）的社会工程师被通讯公司提供的一款十分便宜的手机所打动，但他讨厌与其捆绑的资费方式。没什么大不了的，他也许使用下面的方法来解决此事…… 第一个电话：泰德（ted） 他首先打给位于西吉拉德（westgirard）的一家电器连锁店。 “电子商城，我是泰德。” “嗨，泰德，我叫亚当。是这样，我在前几天晚上，跟你们的一个男销售员谈到一个手机，我说一旦决定了就给他打电话。可我忘了他的名字，你们值夜班的人是谁？” “不只一位，是威廉么？” “不知道，也许是吧。 第10章 他长什么样？” “高个子，瘦瘦的。” “我想是他吧，他姓什么来着？” “哈德利。哈－德－利（h--a--d--l--e--y.）” “是的，是他。他什么时候上班？” “我不知道他这星期的排班，但上夜班的人5点到。” “好的，那我试试晚上找他。谢谢，泰德。” 第二个电话：凯蒂（katie） 第二个电话打给位于北广街（northbroadstreet）的连锁店。 “嗨，电器商城。我是凯蒂，需要帮忙么？” “凯蒂，嗨！我是威廉?哈德利，西吉拉德店的。今天过得怎么样？” “有点儿忙，什么事？” “我有一位顾客想购买那个一美分的手机，你知道这个手机的资费捆绑吧？” “是的，上星期我售出了一些。” “你那儿还有这种资费捆绑的手机么？” “还有一堆呢。” “很好。我刚售出了一个这种手机的资费，顾客通过了信用记录（译者注：美国通讯公司会查询手机用户过去的使用记录，以确定用户是否具备享受某一资费方式的资格），我们也签了资费合同。我查了一下该死的存货记录，却没有这种手机了。这让我很难做，你能帮个忙么？我让他到你们店去买一美分的手机，你卖给他后开张发票。他买到手机后会给我打电话，然后我再告诉他怎么用。” “好的，当然可以。让他来吧。” “太好了，他叫泰德，泰德?岩西（tedyancy）。” 一个自称泰德?岩西的人来到北广街连锁店，凯蒂开了一张发票，把一美分的手机卖给他，完全依照她的“同事”交待给她的事情，从而彻底地掉入骗局。付钱时，这个顾客的钱包里一枚硬币也没有，于是他到收款台的零钱碟中拿了一枚，交给她完成登记。他甚至一分钱都没有花就得到了那部手机。 过程分析 人们会很自然地相信熟悉公司内部的业务流程和专业用语，并声称自己是公司同事的人。这个故事中的社会工程师就是利用了这一点，通过了解促销活动的细节，扮做公司的职员，并要求另一个分店人员的帮助。这种事情在各零售店之间以及一个公司的各部门之间经常发生，这是因为人们没有机会接触，天天与从未见过面的同事打交道。 入侵fbi 人们通常不住地去想他们的公司会在网站上提供什么资料。我在洛杉矶一个电台做每周一次的脱口秀节目，节目制作者在网上做了一次搜索，发现了一份访问国家犯罪信息中心（ncic）的操作说明拷贝。不久他发现，真正的ncic操作说明原件就在网上，这是一份相当敏感的文档，它记录着从fbi的国家犯罪记录数据库中提取信息的所有操作说明。对于执法部门，这份说明就是一本从国家数据库中提取犯罪记录和罪犯信息的格式和代码的操作手册。国家的所有执法部门都可以依据他们所属的权限从同一个数据库中查询有助于办案的信息，手册里包含了数据库中用来标明各种信息的代码，从各种各样的纹身到各式各样的轮船外壳，再到失窃纸币和债券的面额。 任何人接触到这本手册的人都可以在上面找出从国家数据库中查找信息的命令和语法规则，然后依据手册上的步骤指导，再加一点胆量，人人都可以从数据库中提取信息，而且手册还提供使用数据库系统的服务支持电话。也许你的公司也有这样的包含着产品代码或是查询敏感信息的代码手册。 fbi几乎肯定不知道如此敏感的资料暴露在网上，我想如果他们知道此事一定会很恼火的。一份拷贝是由俄勒冈州政府部门放到网上的，另一份是由得克萨斯州的执法机构传到网上。为什么？这都是因为，也许某人觉得这些信息可能没什么价值，放到网上也不会有什么害处。也许有人为了内部人员使用上的方便，而它放到内网上，却从未想到会被在网上使用搜索引擎（如google）的人找到，包括仅仅是好奇的人、还有想当警察的人、黑客，以及有组织的犯罪团伙。 接入系统 利用这样的信息来欺骗有政府或企业背景的人，使用的准则是相同的：由于社会工程师知道如何访问特定的数据库或应用程序，或是知道公司的服务器名称等类似的事情，他因此具备可信性，这种可信导致信任。一旦社会工程师拥有了这样的代码，获得所需信息就十分简单。在这个例子中，他首先给当地的州警察局电讯室打电话，针对手册上的一个代码，提出问题。比如，犯罪代码。他可能这样说，“我在ncic做犯罪记录查询时，碰到‘系统发生问题’的错误提示。你做记录查询时碰到过这种情况么？能帮我试一下么？”或者他会说正在查询wpf（警方用语，被通辑人的档案）。电话另一端，电讯室的工作人员就会意识到对方熟悉查询ncic数据库的操作程序和命令，除了受过训练的人，谁会知道这些操作程序呢？ 工作人员确定她的系统运行正常后，谈话可能像这样进行： “我可以帮点儿忙。你要查什么？” “我要查瑞尔顿?马丁的犯罪记录，出生日期66年10月18日。” “索什（sosh，执行部门的人有时把社会保险号简称为索什）是多少？” “700-14-7435。” 找到名单后，她可能这样说：“他的犯罪记录代码是2602。” 现在，攻击者只需到ncic的网站上查一下这个号码的含义了――这个人有一桩诈骗的犯罪记录。 过程分析 一个出色的社会工程师一刻也不会停止思考闯入ncic数据库的办法，往当地警察局打上一个电话，花言巧语一番让对方认为自己是内部人员，这就足以能够得到他所需的信息。下一次，他只需使用相同的借口往另一个警察局打电话就是了。为什么获得信息如此容易？ 专业术语 索什：执法部门对社会保险号的简称。 你可能觉得奇怪，往州、县警察局，或是高速公路巡警处打电话不危险么？攻击者岂不是冒着很大的风险？ 答案是“不”。由于某种原因，执法部门的人（比如军事部门），自从步入这个圈子的那一天起，就牢牢地记住对等级的尊重。社会工程师只要装扮成一名中士或中尉（比对方级别要高），对方就会被那句根深蒂固的训诫所支配――不要向职位、权力比你高的人提问。换句话来说，级别，享有特权，尤其是级别低的人不能对级别高的人提出置疑的特权。不要认为只有执法部门和军事部门才会看重级别的高低，社会工程师经常把企业中的等级特权做为他们对业务信息的攻击武器，一如本书中的故事中所做的示范。 预防措施 你的机构能采取哪些措施以降低社会工程师利用雇员相信他人的习惯来实施攻击的可能？下面提供一些建议： 保护你的客户 在当今的电子时代，许多销售公司都会把客户的信用卡信息存档。这是由于，在客户去商店或网站购物时，它省去了客户每次都要填写信用卡信息的麻烦。然而，这种习惯应该去除。如果你必须将信用卡号存档，则应采取加密或访问控制等相应的安全措施，工作人员需要培训以认清类似于本章中描述的社会工程师的诡计。只是通过电话但从未见过面的同事，可能不是她或他声称的那个人，他也许没有访问客户信息的知情权，因为，他可能根本就不在这个公司工作。 米特尼克信箱 人人都应了解社会工程师的惯用手段：尽可能的收集目标的所有信息，并利用这些信息获取信任，让对方认为自已是内部人员，然后便深入腹地。 有节制的给予信任 并不是只有那些有权访问到敏感信息的人，软件工程师、发展研究部门的人等等，需要得到防入侵的安全培训，几乎公司里的所有人员都需要安全培训以保护企业，防范商业间谍和信息窃贼。实施这项基础工作首先要在企业范围内做一项信息资产的调查，单独地审视每一项关键、敏感，或是有价值的信息资产，并提出问题，攻击者可能会使用什么样的社会工程手段来危及这些资产的安全。围绕这些问题，为有权访问信息资产的人制定出恰当的培训方案。任何没有见过面的人找你询问某些信息和资料，或是让你操作一下你的计算机时，每一个员工都应该问自己：如果我把这些信息透露给最坏的敌人，我或我的公司会因此而受到伤害么？我的确完全知道对方要求我做的计算机操作存在的潜在影响么？ 我们并不想怀疑我们遇到的每一个陌生人，在怀疑中渡过人生。然而，我们越容易相信他人，我们就越容易被欺骗，从而把公司的私有信息泄露给下一个社会工程师。 内部网上有什么？ 企业的内网也许有些内容会对外开放，剩下的只开放给员工。那你的公司是否确保了敏感信息不被放到不该放的地方？你的机构对内网上的敏感信息是否被放到网站公众访问区的最后一次检查是在什么时候？如果你的公司使用了代理服务器来增加企业的网络安全性，最近有没有进行检查以确保这些服务器做到正确的配置？ 实际上，有人检查过你的内网安全性么？ 当我们遇到头痛的事情时，如果有个经验丰富、技术高超的人来帮忙，我们一定会很感激。 第11章 社会工程师了解这一点，并懂得如何利用它。他还知道如何制造一个麻烦，然后帮你解决以获得你的感激，最后利用你的感激之情来获取信息或得到你的一些小关照，这将把你的公司或是你个人置于不利的地步，而你可能永远不知道你已经遭受损失。下面是一些社会工程师“帮忙”的典型方法。 网络故障 日期/时间：2月12日星期一，15:25 地点：斯达伯德（starboard）造船厂办公室 第一个电话：汤姆?狄雷（tomdy） “簿记处，汤姆?狄雷。” “嗨，汤姆，我是服务中心的艾迪?马丁（eddiemartin）。我们正在检修计算机网络，你们部门有人在线时遇到问题了么？” “嗯，据我所知没有人。” “你这儿也没什么麻烦吧？” “没有，还算正常。” “好的，很好。是这样，我们正在给可能发生网络问题的人打电话，如果你的网络连接中断请立即告诉我们，这很重要。” “听起来可不妙，你觉得它可能出问题么？” “我们希望不会，但一旦有情况，请打电话好么？” “这你放心。” “是这样，如果你们的网络连接掉线，很可能是你这儿的问题……” “那可没准儿。” “所以我们会检修你这里的网络，我把我的手机号留给你，如果有需要你可以直接找到我。” “太好了，请说。” “5558675309。” “5558675309，好了，谢谢。你叫什么来着？” “艾迪。听着，还有一件事。我需要检测一下你的计算机连接端口，看一下你的计算机哪里贴着一个大概写着“端口号”字样的标签？” “稍等，没有，我看不到有这样的东西。” “好吧，这样，你再看计算机的后面，能找到网线么？” “是的。” “顺着线找到它的插头，看看它的插口上是否有一个标签。” “稍等一下，再等等，我必须蹲下离近些才能看清楚。好的，上面写着6杠47（6-47）。” “很好，那就是我们记录的端口号，只是为了确认一下。” 第二个电话：技术支持 两天后，一个电话打到该厂的网络管理中心。 “嗨，我是鲍勃（bob），我现在簿记处汤姆?狄雷的办公室。我们正在检修网线故障，请你封掉6-47的端口。” 技术支持人员回答说很快就封掉，并说可以恢复的时候再通知他们。 第三个电话：敌人的帮助 一个小时后，一位自称艾迪?马丁的人在circuitcity购物时，他的手机响了。他发现是造船厂的号码，便迅速地转到一个安静的角落接听手机。 “服务中心，艾迪。” “哦，嗨，艾迪。有事找你，你在哪儿？” “我么，嗯，我在机房，你是？” “我是汤姆?狄雷。伙计，很高兴能找到你。或许你还记得前两天给我打过电话吧？我的网络连接可能像你说的那样断掉了，我有点不知道怎么办。” “是的，刚刚好几个人都说掉线了，我们在今天晚上会处理此事，好么？” “不！见鬼！如果断线那么长时间，就要耽误事了。能尽量帮帮我么？” “事情很紧？” “我有事得赶紧弄，有没有可能在半个小时之内处理好？” “半个小时？你也太着急了。嗯，这样，我放下手里的活，看看能不能帮你解决。” “嗨，艾迪，真是谢谢你了。” 第四个电话：搞定 45分钟后…… “汤姆？我是艾迪，去看看你的网络连接。” 不一会儿： “噢，好了，它好了，太棒了！” “很好，很高兴为你解决了。” “是啊，十分感谢！” “听着，如果你不想让它再出毛病，要安装一个软件，几分钟就可以了。” “可现在不太合适。” “我理解，但如果下次网络连接再出毛病，这会让我们都省心的。” “好吧，如果只需几分钟的话。” “你照这样做……” 艾迪指导汤姆从一个网站下载一个小程序，下完之后，艾迪叫汤姆双击它。汤姆照做，但反馈说：“不行，什么反应都没有。” “噢，真讨厌。程序一定有什么地方出错了，算了吧，我们可以下次再试。”接着他指导汤姆删除掉程序，以使其不能恢复。 整个过程花费时间，十二分钟 攻击者的故事 每当鲍比?华莱士（bobbywace）接到这样的一项任务时总觉得很可笑，他的客户总是在为什么需要这种信息的问题上闪烁其词。这件案例中，他只想到两个原因：也许他们代表某个意图收购斯达伯德造船厂的组织，因而想知道造船厂真正的财务现状，尤其是被收购方想对潜在购买者刻意隐瞒的东西。或者，他们代表投资方，认为他们的资金在使用上有些可疑，并想知道是否有些管理人员私自开设了小金库。 也许他的客户并不想让他知道真正的原因，因为如果鲍比知道了那些信息的价值，他可能会索要更多的酬金。 有许多破解企业最机密文档的方法，鲍比在制定计划前花了几天时间做选择并进行了小小的测试。他决定使用一个称为“接近”的他尤其喜欢的方法，让对方自己落入圈套，他会自动请求攻击者的帮助。 首先，鲍比花39.95美元在便利店买了一部手机，然后打电话给那个他选做目标的人，冒充公司服务中心的人哄骗对方在网络连接出问题时给他打电话。为了使事情看上去不那么明显，他故意等了两天才给网络管理中心（noc）打电话。他声称在为汤姆（他的目标）检修网络问题，并要求noc把网络连接禁止掉，鲍比知道这是整个计划中最棘手的部分。在许多企业，服务中心与noc有着紧密的工作关系，实际上他知道服务中心通常就是it部门的一个分部。但noc接电话的人懒得问那个解决网络问题的服务中心人的名字，并同意禁止掉对方要求的网络端口。这一切搞定之后，汤姆就被完全的从企业内网上隔离了，不能从服务器上检索文件，也不能与同事交换文件、下载邮件，或甚至不能把数据传到打印机。在当今的世界，这如同居住在一个洞穴中。 正如鲍比所预想的，他的手机很快就响了。当然，他尽量使自己听上去十分愿意帮助这个不幸的同事，然后给noc接电话把网络连接恢复。最后，他打给汤姆再次控制了他，这一次由于帮他解决了问题，令对方心存感激，于是汤姆同意下载一个软件到他的计算机上。当然，他同意下载的软件并不是鲍比所说的那样，是为了防止网络连接的再次中断，它实际上是一个特洛伊木马，一个用来对付汤姆的计算机的应用程序（特洛伊是一种原始的把敌人带到对方内部的欺骗方法）。汤姆回复说双击程序后没有任何反应，这是故意让他看不到发生任何事情的，实际上这个小巧的应用程序正在安装一个允许渗透者悄悄访问汤姆计算机的秘密软件。利用这个软件，鲍比可以完全的控制汤姆的计算机，这称为远程命令行解释器。当鲍比访问汤姆的计算机时，他可以查找他感兴趣的财务文件并拷贝下来，然后，在方便时检查它们是否包含他的客户寻求的信息。 专业术语 特洛伊木马：一种包含恶意或会造成危害的代码，用来损坏受害者的计算机或文件，或是从受害者的计算机和网络上获取信息。某些特洛伊木马会隐藏在操作系统中暗中监视击键或操作，或者通过网络连接来执行一些入侵命令，而这一切是在受害者意识不到的情况下进行的。这还不是全部，入侵者还可以在任何时候回到这台计算机上搜索电子邮件和私人备忘录，并对可能揭示出敏感信息的词进行文本查找。 在哄骗目标安装了特洛伊木马程序的当晚，鲍比就把手机扔到了垃圾桶里。当然，在扔之前他首先小心的删除了通话记录并拔出了电池。这是他最后要做的事情，让人再也拨不通这个电话号码。 过程分析 攻击者设计一个圈套来使对方认为自己的计算机存在问题，实际上，根本没有。或者，问题还未发生，但攻击者知道它会的，因为他将使之发生，然后他再假扮解决问题的人。这次攻击中的程序安装对于攻击者来说更是奖赏，他事先埋下了伏笔，当目标发现问题时，会自动打电话恳求帮助。攻击者只需坐在那儿等电话响就是了，可以把这次攻击看做是一次反向的社会工程学――攻击者迅速获得了信任，从而使目标主动打电话给他。如果你打电话给某个你认为是服务中心的人，你会要求对方证明自己的身份吗？这就是攻击者想制造的效果。 专业术语 远程命令行解释器：接受文本命令来执行某种功能或运行程序的非图形操作界面。通过利用漏洞或在目标计算机上安装木马，攻击者可以获得对命令行解释器的远程访问权。 反向社会工程学：攻击者设计的一种情形，受骗者碰到问题时会联系攻击者求助。另一种反向社会工程学是对付攻击者的，被攻击目标发现了对方是攻击者后，利用心理影响尽可能的从攻击者身上套出信息以保护企业的信息资产。 第12章 米特尼克信箱 如果某个陌生人帮了你的忙，然后要你帮他，不要不经过慎重考虑就回报他的帮助，要看对方要你做的是什么。在类似上面的这个骗局中，社会工程师找了一个计算机知识很少的人。他知道的越多，就越可能产生怀疑，或越能断定是被骗了。计算机白痴――对计算机操作和知识了解很少的人，则很容易遵从你的指示。他太容易掉入“只需下一个小程序”这样的陷井了，因为他对一个软件程序可能造成的损害一无所知。而且，他很可能不知道他冒着风险放到网络上的信息的价值。 更多精彩，更多好书，尽在奇书网—http://isuu.