前言

一些黑客毀壞別人的文件甚至整個(gè)硬盤(pán)，他們被稱為電腦狂人（crackers）或計(jì)算機(jī)破壞者（vandals）。另一些新手省去學(xué)習(xí)技術(shù)的麻煩，直接下載黑客工具侵入別人的計(jì)算機(jī)，這些人被稱為腳本小子（script kiddies）。而真正有著豐富經(jīng)驗(yàn)和編程技巧的黑客，則開(kāi)發(fā)黑客程序發(fā)布到網(wǎng)站或論壇（BBS）。還有一些人對(duì)黑客技術(shù)沒(méi)有絲毫興趣，他們把計(jì)算機(jī)僅僅當(dāng)做竊取金錢(qián)、商品和服務(wù)的輔助工具。

盡管媒體神話了凱文.米特尼克，但我并不是一個(gè)用心險(xiǎn)惡的黑客，我只是喜歡不斷地超越自己。

人之初

我的人生之路，也許在我很小的時(shí)候就注定了。三歲時(shí)，由于父親的離去，使我無(wú)憂無(wú)慮的生活發(fā)生變故。做招待的母親支撐著家庭。那時(shí)的我（一個(gè)由深受沒(méi)有工作規(guī)律之苦的母親養(yǎng)活著的獨(dú)生子），除了睡覺(jué)以外，大部位時(shí)間都沒(méi)人管，我就是我自己的保姆。

在圣費(fèi)爾南多谷（San Fernanado Valley）的成長(zhǎng)經(jīng)歷給予我探索整個(gè)洛杉磯的機(jī)會(huì)，十二歲時(shí)，我發(fā)現(xiàn)了一個(gè)可以免費(fèi)周游洛杉磯的方法。我發(fā)現(xiàn)到坐公車時(shí)購(gòu)買(mǎi)的換乘券，是由一種非常規(guī)的打孔機(jī)打出來(lái)的，公車司機(jī)用它來(lái)在換乘券上標(biāo)記日期、時(shí)間和路線。一位司機(jī)友好地回答了我精心準(zhǔn)備的問(wèn)題，于是我知道了在哪里可以買(mǎi)到這種特殊的打孔機(jī)。換乘券用來(lái)改乘車次從而到達(dá)目的地，但是我想出的方法，可以讓我使用換乘券免費(fèi)到達(dá)我想去的任何地方。

獲得空白換乘券很容易，如同去公園散步般簡(jiǎn)單，因?yàn)楣嚱K點(diǎn)站的廢物箱中總是充斥著公車司機(jī)換班時(shí)未用完的換乘券本子。用一疊空白換乘券加上打孔機(jī)，我可以制作出我自己的換乘券，并用它行遍全洛杉機(jī)公車能夠到達(dá)的任何地方。很快，我就差不多記住了整個(gè)公交系統(tǒng)的公車時(shí)刻表。（我對(duì)某種信息的記憶力總是讓人驚訝，這一個(gè)較早的例子。直到現(xiàn)在，我還能記住遠(yuǎn)在童年時(shí)的電話號(hào)碼、口令以及其它一些看上去十分瑣碎的事情。）

另一個(gè)在小時(shí)候就顯露出來(lái)的個(gè)人興趣是對(duì)魔術(shù)的迷戀。一旦我知道了某個(gè)魔術(shù)的變法，我就會(huì)不斷的練習(xí)、練習(xí)，再練習(xí)，直到我完全掌握。從某種程度上說(shuō)，正是由于魔術(shù)，才讓我發(fā)現(xiàn)獲取秘密信息的樂(lè)趣。

從盜打電話到黑客

我首次接觸社會(huì)工程學(xué)的時(shí)候是在中學(xué)時(shí)期，那時(shí)我遇到了一位喜歡盜打電話的同學(xué)。“電話盜打”是一種利用電話公司雇員和電話系統(tǒng)來(lái)探測(cè)電話網(wǎng)絡(luò)的黑客行為。他向我展示了使用電話的高級(jí)竅門(mén)，比如從電話公司獲取任何一位客戶的資料，以及使用秘密測(cè)試號(hào)碼拔打免費(fèi)長(zhǎng)途電話。實(shí)際上這只是對(duì)我們來(lái)說(shuō)免費(fèi)，因?yàn)槲液髞?lái)發(fā)現(xiàn)這根本就不是一個(gè)秘密測(cè)試號(hào)碼，那些話費(fèi)事實(shí)上從某些倒霉公司的MCI（譯者注：美國(guó)著名通訊公司）帳戶上劃出了。

這就是我對(duì)社會(huì)工程學(xué)的入門(mén)，也可以說(shuō)是我的啟蒙階段。我的朋友還有后來(lái)認(rèn)識(shí)的另外一個(gè)盜打電話的人，他們?cè)诮o電話公司打電話時(shí)讓我在旁邊聽(tīng)，他們是如何讓電話公司相信他們所說(shuō)的話。于是，我知道了許多電話公司的辦公地點(diǎn)，他們的業(yè)內(nèi)用語(yǔ)，還有辦公程序。這種“訓(xùn)練”并沒(méi)有花多長(zhǎng)時(shí)間，不久我便可以完全自己來(lái)做這些事情，甚至比我的啟蒙老師們做的還要好。

我生命中下一個(gè)15年的生活已經(jīng)注定。

在中學(xué)，我最為喜歡的惡作劇就是獲得對(duì)電話交換機(jī)未授權(quán)的訪問(wèn)，然后改變某個(gè)電話盜打者的話費(fèi)設(shè)置。當(dāng)他從家里打電話時(shí)，他的電話就會(huì)告訴他需要投入一角硬幣，因?yàn)殡娫捁窘粨Q機(jī)的記錄被我更改，從而認(rèn)為他拔打的是一個(gè)投幣電話。

我開(kāi)始關(guān)注有關(guān)電話的任何事情，不只是電子學(xué)、交換機(jī)和計(jì)算機(jī)，還有公司組織、業(yè)務(wù)手續(xù)和行業(yè)術(shù)語(yǔ)。不久之后，我就比任何一個(gè)電話公司的雇員都更加了解電話系統(tǒng)。我對(duì)社會(huì)工程學(xué)的運(yùn)用也達(dá)到了嫻熟的階段，十七歲時(shí)，我就能與大多數(shù)電信公司的員工談?wù)搸缀跞魏问虑?#xff0c;無(wú)論是當(dāng)面聊還是打電話。

實(shí)際上我較為公開(kāi)化的黑客之路，始于中學(xué)。盡管在這里我無(wú)法說(shuō)清原委，但其實(shí)一句話也能表達(dá)了。在我黑客生涯的早期，一個(gè)驅(qū)使我的動(dòng)力就是被黑客圈子的人所接受。在那時(shí)，黑客這個(gè)詞是指一個(gè)花費(fèi)大量的時(shí)間調(diào)置軟硬件的人，或是開(kāi)發(fā)更有效的程序，或是繞過(guò)不必要的步驟來(lái)更快的完成工作。這個(gè)詞如今已經(jīng)是一個(gè)帶有貶義的“惡意犯法者”的意思了，但在本書(shū)中，我仍然按原來(lái)對(duì)它更為善意的理解使用這個(gè)詞匯。

中學(xué)之后，我在洛杉磯計(jì)算機(jī)學(xué)習(xí)中心攻讀計(jì)算機(jī)。沒(méi)幾個(gè)月的時(shí)間，學(xué)校的計(jì)算機(jī)管理人員就意識(shí)到我發(fā)現(xiàn)了操作系統(tǒng)的漏洞，并取得了管理員權(quán)限，但是在學(xué)校的教學(xué)人員中，最好的計(jì)算機(jī)專家也無(wú)法弄清我是如何這樣做的。這也許是最早雇傭黑客的例子之一吧，他們給了我一個(gè)無(wú)法拒絕的提議：要么做出一個(gè)榮譽(yù)學(xué)位的畢業(yè)設(shè)計(jì)來(lái)加強(qiáng)學(xué)校的計(jì)算機(jī)安全，要么由于黑客行為而中止學(xué)業(yè)。當(dāng)然，我選擇了前者，以本科優(yōu)等成績(jī)榮譽(yù)學(xué)士畢業(yè)。

成為社會(huì)工程師

每天早晨，許多人從床上一爬起來(lái)，便開(kāi)始對(duì)千篇一律的繁重工作犯愁。我卻很幸運(yùn)，因?yàn)槲蚁矚g我的工作。你簡(jiǎn)直無(wú)法想像我作為一個(gè)秘密調(diào)查者而得到的挑戰(zhàn)、獎(jiǎng)賞和快樂(lè)。我的天份在稱為社會(huì)工程學(xué)（使人們做在通常情況下不會(huì)為陌生人做的事情）的表演藝術(shù)中得到磨練和回報(bào)。

對(duì)我來(lái)說(shuō)，成為社會(huì)工程學(xué)的行家里手并不困難。我父親家一連好幾代都從事銷售領(lǐng)域，因此家里人都有著說(shuō)服和影響別人的家族特征。當(dāng)把這種特征與騙人的愛(ài)好結(jié)合起來(lái)時(shí)，這就是一個(gè)社會(huì)工程師的基本輪廓了?？梢哉f(shuō)行騙藝術(shù)的分類有兩種，一種是通過(guò)詐騙、欺騙來(lái)獲得錢(qián)財(cái)，這就是通常的騙子。另一種則通過(guò)蒙敝、影響、勸導(dǎo)來(lái)達(dá)到獲取信息的目的，這就是社會(huì)工程師。從我使用詭計(jì)免費(fèi)乘車的時(shí)候（我那時(shí)還小，并沒(méi)有認(rèn)識(shí)到這樣做有什么不對(duì)），就逐漸意識(shí)到我具有一種以前沒(méi)有料想到的挖掘秘密的天份。通過(guò)使用詭計(jì)、了解術(shù)語(yǔ)和培養(yǎng)良好的操縱技巧，更為加強(qiáng)了這種天份。一個(gè)用來(lái)發(fā)展我的專業(yè)技藝（如果這可以稱為一個(gè)專業(yè)的話）的方法就是看我是否能與電話另一端的人攀談，并獲得相關(guān)信息，即便這些信息對(duì)我毫無(wú)用處，這樣做只是為了證明我的專業(yè)技巧。同樣，我還用此種方法，練習(xí)奇巧的計(jì)謀、托辭，不久我發(fā)現(xiàn)我可以取得我想關(guān)注的任何信息。正如我在數(shù)年后的國(guó)會(huì)聽(tīng)證會(huì)上，在利伯曼（Lieberman）和湯姆森（Tompson）參議員面前所做的證詞中描述的那樣：

“我未經(jīng)授權(quán)進(jìn)入了世界上最大的幾家公司的計(jì)算機(jī)系統(tǒng)，并成功滲透了一些防范最好的電腦系統(tǒng)。我使用技術(shù)和非技術(shù)手段來(lái)取得各種操作系統(tǒng)和通訊設(shè)備的源代碼，以研究它們的漏洞和工作機(jī)理。所有的這些行為都是為了滿足自己的好奇心?？纯醋约耗茏鍪裁?#xff0c;并發(fā)現(xiàn)其中的秘密，比如操作系統(tǒng)、移動(dòng)電話以及任何能引起我好奇心的東西?！?br />
最后的想法

自從被捕以后，我已經(jīng)承認(rèn)了自己這些行為的非法，侵犯了他人的秘密。我的錯(cuò)誤行為是由于好奇心引起的，我抑制不住的想知道電話網(wǎng)絡(luò)是如何運(yùn)轉(zhuǎn)的，以及了解計(jì)算機(jī)安全的每個(gè)細(xì)節(jié)。我從一個(gè)喜歡魔術(shù)戲法的孩子成為一個(gè)最具惡名的、被政府和企業(yè)害怕的黑客。當(dāng)我反省過(guò)去的這30年時(shí)，我承認(rèn)自己做出了極其拙劣的選擇，被好奇心驅(qū)使，被學(xué)習(xí)技術(shù)的欲望和智力挑戰(zhàn)的虛榮所駕馭。

但我現(xiàn)在已經(jīng)轉(zhuǎn)變，我正在運(yùn)用我的才能和信息安全、社會(huì)工程學(xué)的許多有關(guān)知識(shí)來(lái)幫助政府、企業(yè)、個(gè)人來(lái)檢測(cè)、防范和應(yīng)對(duì)信息安全的威脅。本書(shū)可以把我的經(jīng)驗(yàn)較好地介紹給他人，以避免那些懷有惡意的信息盜賊可能帶來(lái)的危害。我相信，你將會(huì)從本書(shū)中得到樂(lè)趣、教育和啟發(fā)。

內(nèi)容介紹

本書(shū)包含豐富的信息安全與社會(huì)工程學(xué)的知識(shí)，為有助閱覽，下面對(duì)本書(shū)內(nèi)容做一個(gè)簡(jiǎn)要介紹：

在本書(shū)的第一部分（第一章），我將展示信息安全的薄弱環(huán)節(jié)，并指出為什么你和你們的企業(yè)處于社會(huì)工程師攻擊的危險(xiǎn)之下。

本書(shū)的第二部分（第二至九章），大家將會(huì)看到社會(huì)工程師是如何利用人們的信任、樂(lè)于助人的愿望和同情心使你上當(dāng)受騙，從而獲得他們想要的信息。本書(shū)通過(guò)小說(shuō)故事的形式來(lái)敘述典型的攻擊案例，給讀者演示社會(huì)工程師可以戴上許多面具并冒充各種身份。如果你認(rèn)為自己從來(lái)沒(méi)有遇到過(guò)這種事情，你很可能錯(cuò)了。你能從本書(shū)的故事中認(rèn)出自己似曾相識(shí)的場(chǎng)景么？你想知道自己是否經(jīng)歷過(guò)社會(huì)工程學(xué)的攻擊么？這些都極有可能。但當(dāng)你看完了第二章到第九章時(shí)，便知道下一個(gè)社會(huì)工程師打來(lái)電話時(shí)你該如何占取主動(dòng)了。

接下來(lái)的部分將展示一個(gè)社會(huì)工程師如何鋌而走險(xiǎn)，進(jìn)入企業(yè)內(nèi)部，盜取關(guān)健信息并越過(guò)高級(jí)安全防控措施的過(guò)程。此部分內(nèi)容會(huì)讓人意識(shí)到安全威脅存在于各個(gè)方面，從普通員工對(duì)企業(yè)的報(bào)復(fù)一直到電腦空間的網(wǎng)絡(luò)恐怖主義。如果你對(duì)保持公司業(yè)務(wù)運(yùn)轉(zhuǎn)的數(shù)據(jù)和秘密信息十分重視并為之感到擔(dān)心，請(qǐng)仔細(xì)的閱讀本書(shū)第三部分（第十至第十四章）。這里需要注明的是：“除非另做聲明，本書(shū)中的故事情節(jié)純屬虛構(gòu)?！?br />
本書(shū)第四部分(第十五至十六章)我將談到，在業(yè)務(wù)對(duì)話中如何成功的防止社會(huì)工程學(xué)給企業(yè)帶來(lái)的攻擊。第十五章提供一套有效的安全防范培訓(xùn)計(jì)劃；第十六章也許正解你的燃眉之急――它包含一個(gè)完整的安全策略，你可以按公司的需要來(lái)立刻應(yīng)用，以保證企業(yè)的信息安全。

最后，本書(shū)提供一個(gè)由列表、表格組成的“安全一瞥”，用來(lái)概括說(shuō)明一些關(guān)健信息，以幫助員工在工作中阻止社會(huì)工程學(xué)帶來(lái)的攻擊。這些方法還可以為你做出自己的信息安全培訓(xùn)計(jì)劃提供頗具價(jià)值的幫助。

縱覽全書(shū)，你還可以發(fā)現(xiàn)一些非常有用的內(nèi)容條目：“術(shù)語(yǔ)箱”提供社會(huì)工程學(xué)和計(jì)算機(jī)黑客的術(shù)語(yǔ)；“米特尼克信箱”發(fā)出精典短語(yǔ)，有助于加深安全策略的印象；注釋與工具條則帶來(lái)一些有趣的背景知識(shí)等附加信息。

第一部　幕后的故事

第一章　安全軟肋

某公司也許購(gòu)置了能用錢(qián)買(mǎi)到的最好的安全技術(shù)，員工們也訓(xùn)練有素，每晚回家前把所有的秘密都鎖起來(lái)，并從業(yè)內(nèi)最好的保安公司雇用了保安，但這家公司仍然易受攻擊。一些人可能遵從了專家所有最好的安全建議，安裝了各種受推薦的安全產(chǎn)品，并十分謹(jǐn)慎的處理系統(tǒng)配置以及應(yīng)用安全補(bǔ)丁，但他們?nèi)匀缓懿话踩?br />
人為因素

在國(guó)會(huì)聽(tīng)證會(huì)前的一次證言中，我解釋到我經(jīng)?？梢詮钠髽I(yè)獲得密碼口令或其他類似的敏感信息，只需假扮某人直接開(kāi)口要就是了。人們對(duì)于絕對(duì)安全的渴望常常導(dǎo)致他們滿足于虛假的安全感之中。想像一位負(fù)責(zé)任的可愛(ài)的屋主，他有一套麥迪科（譯者注：Medico,知名品牌、價(jià)格昂貴）防撬鎖裝在屋子的大門(mén)上，以保護(hù)他的妻子、孩子和他的家。他覺(jué)得很心安，因?yàn)樗鸭彝ケＷo(hù)的很好。但對(duì)于破窗而入和解開(kāi)車庫(kù)大門(mén)密碼的闖入者呢？再安裝一套強(qiáng)壯的安全系統(tǒng)么？雖然有用，但還是不夠安全。無(wú)論防盜鎖是昂貴還是便宜，屋主的安全仍然難以保障。為什么？因?yàn)槿藶橐蛩夭攀前踩能浝摺?br />
安全，通常情況下僅僅是個(gè)幻想，由其是輕信、好奇和無(wú)知存在的時(shí)候。二十世紀(jì)最受尊敬的科學(xué)家愛(ài)因斯坦這樣說(shuō)道：“只有兩種事物是無(wú)窮盡的――宇宙和人類的愚蠢。但對(duì)于前者，我不敢確定?！弊罱K，社會(huì)工程學(xué)的攻擊，成功于人們的愚蠢或更為普遍的對(duì)信息安全實(shí)踐上的無(wú)知。

與這位屋主一樣，有許多信息技術(shù)（IT）從業(yè)者都有著類似的錯(cuò)誤觀念。他們認(rèn)為自己的公司固若金湯，因?yàn)槠渑渲昧司嫉陌踩O(shè)備――防火墻、入侵檢測(cè)，或是更為保險(xiǎn)的身份認(rèn)證系統(tǒng)，如時(shí)間令牌和生物識(shí)別卡。任何認(rèn)為僅靠這些安全設(shè)備即可保證安全的人都會(huì)滿足于虛假的安全感之中，這就是一個(gè)生活在幻想世界中的例子，他們遲早會(huì)不可避免的遭遇安全事故。

正如著名的安全顧問(wèn)布魯斯.施尼爾（Bruce Schneier）所說(shuō)：“安全不是一件產(chǎn)品，它是一個(gè)過(guò)程?！苯徊秸f(shuō)，安全不是技術(shù)問(wèn)題，它是人和管理的問(wèn)題。由于開(kāi)發(fā)商不斷的創(chuàng)造出更好的安全科技產(chǎn)品，攻擊者利用技術(shù)上的漏洞變得越來(lái)越困難。于是，越來(lái)越多的人轉(zhuǎn)向利用人為因素的手段來(lái)進(jìn)行攻擊。穿越人這道防火墻十分容易，只需打一個(gè)電話的成本和冒最小的風(fēng)險(xiǎn)。

一個(gè)欺騙的經(jīng)典案例

企業(yè)資產(chǎn)安全最大的威脅是什么？很簡(jiǎn)單，社會(huì)工程師。一個(gè)無(wú)所顧忌的魔術(shù)師，用他的左手吸引你的注意，右手竊取你的秘密。他通常十分友善，很會(huì)說(shuō)話，并會(huì)讓人感到遇上他是件榮幸的事情。我們來(lái)看一個(gè)社會(huì)工程學(xué)的例子：

許多人都已記不起一個(gè)叫斯坦利.馬克.瑞夫金（Stanley Mark Rifkin）的年輕人，和他在洛杉磯的美國(guó)保險(xiǎn)太平洋銀行（Security Pacific National Bank）的冒險(xiǎn)小故事了。他的劣跡很多，瑞夫金（同我一樣）從未把自己的事情告訴過(guò)別人，因此下面的敘述基于公開(kāi)的報(bào)道。

獲得密碼

1978的一天，瑞夫金無(wú)意中來(lái)到了美國(guó)保險(xiǎn)太平洋銀行的授權(quán)職員準(zhǔn)入的電匯交易室，這里每天的轉(zhuǎn)款額達(dá)到幾十億美元。瑞夫金當(dāng)時(shí)工作的那家公司恰巧負(fù)責(zé)開(kāi)發(fā)電匯交易室的數(shù)據(jù)備份系統(tǒng)，這給了他了解轉(zhuǎn)賬程序的機(jī)會(huì)，包括銀行職員拔出賬款的步驟。他了解到被授權(quán)進(jìn)行電匯的交易員每天早晨都會(huì)收到一個(gè)嚴(yán)密保護(hù)的密碼，用來(lái)進(jìn)行電話轉(zhuǎn)帳交易。

電匯室里的交易員為了記住每天的密碼，圖省事把密碼記到一張紙片上，并把它貼到很容易看得見(jiàn)的地方。11月的一天，瑞夫金有了一個(gè)特殊的理由出入電匯室。到達(dá)電匯室后，他做了一些操作過(guò)程的記錄，裝做在確定備份系統(tǒng)的正常工作。借此機(jī)會(huì)偷看紙片上的密碼，并用腦子記了下來(lái)，幾分鐘后走出電匯室。瑞夫金后來(lái)回憶道：“感覺(jué)就像中了大獎(jiǎng)”。

轉(zhuǎn)款入戶

瑞夫金約在下午3點(diǎn)離開(kāi)電匯室，徑直走到大廈前廳的付費(fèi)電話旁，塞入一枚硬幣，打給電匯室。此時(shí)，他改變身份，裝扮成一名銀行職員――工作于國(guó)際部的麥克.漢森（Mike Hansen）。那次對(duì)話大概是這樣的：

“喂，我是國(guó)際部的麥克.漢森?！彼麑?duì)接聽(tīng)電話的小姐說(shuō)，小姐按正常工作程序讓他報(bào)上辦公電話?！?86。”他已有所準(zhǔn)備。小姐接著說(shuō)：“好的，密碼是多少？”瑞夫金曾回憶到他那時(shí)的“興奮異常”?！?789”他盡量平靜地說(shuō)出密碼。接著他讓對(duì)方從紐約歐文信托公司（Irving Trust Company）貸一千零二十萬(wàn)美元到瑞士蘇黎士某銀行（Wozchod Handels Bank），他已經(jīng)建立好的賬戶上。對(duì)方說(shuō)：“好的，我知道了，現(xiàn)在請(qǐng)告訴我轉(zhuǎn)賬號(hào)?！?br />
瑞夫金嚇出一身冷汗，這個(gè)問(wèn)題事先沒(méi)有考慮到，他的騙錢(qián)方案出現(xiàn)了紕漏。但他盡量保持自己的角色，十分沉穩(wěn)，并立刻回答對(duì)方：“我看一下，馬上給你打過(guò)來(lái)?！边@次，他裝扮成電匯室的工作人員，打給銀行的另一個(gè)部門(mén)，拿到帳號(hào)后打回電話。對(duì)方收到后說(shuō)：“謝謝?！?#xff08;在這種情況下說(shuō)“謝謝”，真是莫大的諷刺。）

成功結(jié)束

幾天后，瑞夫金乘飛機(jī)來(lái)到瑞士提取了現(xiàn)金，他拿出八百萬(wàn)通過(guò)俄羅斯一家代理處購(gòu)置了一些鉆石，然后把鉆石封在腰帶里通過(guò)了海關(guān)，飛回美國(guó)。瑞夫金成功的實(shí)施了歷史上最大的銀行劫案，他沒(méi)有使用武器，甚至勿需計(jì)算機(jī)的協(xié)助。奇怪的是，這一事件以“最大的計(jì)算機(jī)詐騙案”為名，收錄在吉尼斯世界紀(jì)錄中。斯坦利.瑞夫金用的就是欺騙的藝術(shù)，這種技巧和能力我們現(xiàn)在把它稱為――社會(huì)工程學(xué)。

威脅的天然性

瑞夫金的故事確切的證明了我們的安全感是多么不可靠。這樣的事件（也許到不了一千萬(wàn)美元，但終歸有所損失）每天都在發(fā)生，你的資金可能正在流失，新產(chǎn)品方案正在被竊取，而你卻一無(wú)所知。即使你的公司還沒(méi)有這樣的事情出現(xiàn)，那也會(huì)終將出現(xiàn)。但它何時(shí)出現(xiàn)呢？
日益增長(zhǎng)的安全事件

美國(guó)計(jì)算機(jī)安全協(xié)會(huì)在2001年計(jì)算機(jī)犯罪調(diào)查報(bào)告中聲稱，在接受調(diào)查的組織機(jī)構(gòu)中，有85%的組織在過(guò)去的12個(gè)月中發(fā)現(xiàn)了計(jì)算機(jī)安全事件。這是一個(gè)驚人的數(shù)字，只有15%的機(jī)構(gòu)在過(guò)去的一年中沒(méi)有發(fā)現(xiàn)安全事件。另一個(gè)數(shù)字同樣驚人，有64%的機(jī)構(gòu)由于計(jì)算機(jī)的問(wèn)題而導(dǎo)致財(cái)務(wù)損失，超過(guò)一年中遭受財(cái)務(wù)損失企業(yè)的二分之一強(qiáng)。

我的經(jīng)驗(yàn)告訴我這個(gè)數(shù)字有些夸大，并對(duì)這項(xiàng)調(diào)查的研究結(jié)果表示懷疑。但這并不是說(shuō)安全事件的危害面不大，相反，它很大。那些未把安全事件考慮在內(nèi)的人，遲早會(huì)出問(wèn)題。大多數(shù)公司配置的安全產(chǎn)品主是應(yīng)付業(yè)余入侵者的，比如被稱為“腳本小子”的年輕人。實(shí)際上，這些利用別人的軟件，并憧憬著成為真正黑客的人，大多數(shù)情況下只能引起一些麻煩。真正的損失和威脅，來(lái)自于經(jīng)驗(yàn)豐富、目標(biāo)清晰，受商業(yè)利益驅(qū)動(dòng)的攻擊者。這些人一次只盯準(zhǔn)一個(gè)目標(biāo)，而不像業(yè)余入侵者試圖進(jìn)入盡可能多的系統(tǒng)。業(yè)余黑客看重?cái)?shù)量，而職業(yè)黑客在乎的是信息的質(zhì)量和價(jià)值。

認(rèn)證設(shè)備（身份認(rèn)證）、訪問(wèn)控制（對(duì)文件和系統(tǒng)資源的控制管理）和入侵檢測(cè)系統(tǒng)（計(jì)算機(jī)化的防盜器）等技術(shù)，對(duì)公司的安全防護(hù)是十分必要的。然而，現(xiàn)在的公司在布置保護(hù)企業(yè)免受攻擊的安全對(duì)策方面的投入比其花在咖啡上的錢(qián)還要少。

正如同罪惡的心無(wú)法抵制誘惑，黑客們一心要找出功能強(qiáng)大的安全系統(tǒng)的弱點(diǎn)。在許多時(shí)候，他們把這種心思放在了人的身上。

欺騙的使用

許多人都說(shuō)，關(guān)掉了的計(jì)算機(jī)才是安全的計(jì)算機(jī)，但這是錯(cuò)誤的，找個(gè)借口讓人去辦公室打開(kāi)它就是了。你的對(duì)手不僅僅有一種方法可以從你那里得到他想要的信息，這只是時(shí)間的問(wèn)題。耐心、個(gè)性和堅(jiān)持，這正是欺騙的藝術(shù)的切入點(diǎn)。

要擊敗安全措施，一個(gè)攻擊者、入侵者，或是社會(huì)工程師，必須找到一個(gè)方法，從可信用戶那里騙取信息，或是不露痕跡的獲得訪問(wèn)權(quán)。當(dāng)可信用戶被欺騙、影響，并被操縱而吐露出敏感信息時(shí)，或是做出了不當(dāng)?shù)呐e動(dòng)，從而讓攻擊者有漏洞可鉆時(shí)，什么樣的安全技術(shù)也無(wú)法保護(hù)住你的業(yè)務(wù)了。正如同密碼專家有時(shí)通過(guò)尋找漏洞來(lái)繞過(guò)加密技術(shù)解出密文一樣，社會(huì)工程師通過(guò)欺騙你的雇員來(lái)繞過(guò)安全技術(shù)。

信任的弊端

大多數(shù)情況下，成功的社會(huì)工程師都有著很強(qiáng)的人際交往能力。他們有魅力、講禮貌、討人喜歡，并具有快速建立起可親、可信感的特點(diǎn)。一個(gè)經(jīng)驗(yàn)豐富的社會(huì)工程師，使用他自已的戰(zhàn)略、戰(zhàn)術(shù)，幾乎能夠接近任何他感興趣的信息。精干的技術(shù)專家辛辛苦苦地設(shè)計(jì)出安全解決方案來(lái)最小化使用計(jì)算機(jī)的風(fēng)險(xiǎn)，然而卻沒(méi)有解決最大的漏洞――人為因素。盡管我們很聰明，
但對(duì)我們?nèi)祟惃D―你、我、他的安全最嚴(yán)重的威脅，來(lái)自于我們彼此之間。

我們的國(guó)民性格

我們對(duì)危險(xiǎn)漠不關(guān)心，尤其在西方，美國(guó)則更甚。我們沒(méi)有受到要對(duì)別人保有懷疑態(tài)度的訓(xùn)練，我們接受的是“愛(ài)汝之鄰”（譯者注：此句引自《圣經(jīng)》）的教育，人與人之間要相互信任和忠實(shí)，試像一下小區(qū)的保安機(jī)構(gòu)讓人們鎖上家門(mén)和車門(mén)是多么的困難。這種情形是很明顯的，卻似乎被許多寧愿活在理想世界里的人忽略，直至受到傷害。

我們知道，并不是所有的人都誠(chéng)實(shí)善良、友愛(ài)可親，可我們?cè)谏钪袇s經(jīng)常把他人想像成這樣。這種可愛(ài)的無(wú)知一直都是美國(guó)人的生活方式，放棄這種習(xí)慣十分不易。做為美國(guó)人，自由和最適宜居住的地方就是鎖和鑰匙最沒(méi)必要的地方，這種理念已經(jīng)深入人心。大多數(shù)人持有不會(huì)被欺騙的想法是覺(jué)得被騙的可能性很低，而攻擊者利用這種心理，編出不會(huì)引起懷疑的聽(tīng)上去十分合理的理由，充分的利用了受騙者的信任。

機(jī)構(gòu)的無(wú)知
　　
無(wú)知是我們國(guó)民性格的一部分，這可以在回溯計(jì)算機(jī)首次遠(yuǎn)程聯(lián)接時(shí)輕易的看出。APPANet（美國(guó)國(guó)防部高級(jí)研究項(xiàng)目署網(wǎng)絡(luò)），互聯(lián)網(wǎng)的前身，用來(lái)在政府、科研和教育機(jī)構(gòu)之間共享信息，其目標(biāo)是信息共享和科技進(jìn)步，許多教育機(jī)構(gòu)因此建立了幾乎沒(méi)有任何安全措施的早期計(jì)算機(jī)系統(tǒng)。一個(gè)著名的軟件開(kāi)發(fā)自由主義者，理查德.斯托曼，甚至拒絕為他的賬號(hào)設(shè)置口令。但隨著互聯(lián)網(wǎng)電子商務(wù)的興起，由于互聯(lián)網(wǎng)脆弱的安全措施導(dǎo)致的危害性發(fā)生了極大的變化。

使用再多的安全技術(shù)也不能解決人為的安全因素，拿今天的機(jī)場(chǎng)為例，安全已經(jīng)成為首要措施，然而我們?nèi)匀槐幻襟w的報(bào)道所警告，還是有人可以避開(kāi)安全措施、攜帶潛在性武器通過(guò)檢測(cè)。在一個(gè)機(jī)場(chǎng)時(shí)刻處于警戒狀態(tài)下的時(shí)期，這種事情又是怎么發(fā)生的呢？是那些金屬儀器失效了么？不，問(wèn)題不在機(jī)器，問(wèn)題在于人，機(jī)器是由人操縱的。機(jī)場(chǎng)的官員雖然可以布署國(guó)民警衛(wèi)隊(duì)并安裝檢測(cè)器和面部識(shí)別系統(tǒng)，但如何培訓(xùn)一線保衛(wèi)人員正確地檢查旅客則更為重要。全世界的政府、商業(yè)、教育機(jī)構(gòu)都有同樣的問(wèn)題，雖然各個(gè)地方的職業(yè)安全人員不敢懈怠，但信息仍然易受攻擊，并被具備社會(huì)工程學(xué)技巧的攻擊者視為可摘之果，除非安全鏈中最薄弱的環(huán)節(jié) ――人為因素，被加固強(qiáng)化。

現(xiàn)在，我們比任何時(shí)候都需要停止幻想，同時(shí)對(duì)攻擊計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)機(jī)密性、完整性以及實(shí)用性的技術(shù)加深認(rèn)識(shí)。我們已經(jīng)認(rèn)識(shí)到主動(dòng)防御的必要，是接受和學(xué)習(xí)安全防護(hù)的時(shí)候了。

對(duì)你的隱私、思想和公司信息系統(tǒng)的非法入侵似乎很遙遠(yuǎn)，直到它真的發(fā)生。為了避免付出昂貴的代價(jià)，我們所有的人都需加深認(rèn)識(shí)、富有經(jīng)驗(yàn)、保持警醒，并主動(dòng)防衛(wèi)我們的信息資產(chǎn)、個(gè)人信息，以及國(guó)家的關(guān)健基礎(chǔ)設(shè)施?，F(xiàn)在，我們必須實(shí)行嚴(yán)謹(jǐn)、周密的設(shè)防。
欺騙與恐怖分子

當(dāng)然，欺騙并不是社會(huì)工程師的專用工具。暴戾的恐怖主義制造了聳人聽(tīng)聞的新聞事件，我們前所未有地意識(shí)到我們居住的世界充滿了危險(xiǎn)。文明，終歸只是一層脆弱的薄板。2001年，發(fā)生在紐約的911事件把悲傷和恐懼植入每一個(gè)人的心中，不只是美國(guó)人，還有世界上所有善良的人們。我們已經(jīng)開(kāi)始警覺(jué)，因?yàn)檫@個(gè)世界上還分布著受到良好訓(xùn)練的極端恐怖分子，伺機(jī)再次發(fā)動(dòng)對(duì)我們的攻擊。

政府最近的強(qiáng)化努力已經(jīng)提升了大眾的安全意識(shí)，我們需要保持警醒，警惕各種形式的恐怖主義。我們需要了解恐怖分子是如何偽造各種身份，假扮學(xué)生、鄰居而混入人群的，他們掩飾住自己真實(shí)的思想以密謀恐怖行動(dòng)，而他們使用的就是類似于本書(shū)中介紹的欺騙手法。

然而，就我所認(rèn)為，恐怖分子目前尚未利用社會(huì)工程學(xué)的手法滲透到水處理廠、發(fā)電廠，或其它關(guān)系國(guó)計(jì)民生的基礎(chǔ)設(shè)施中，但可能性依然存在，這畢竟太容易做到了。我希望安全意識(shí)和相應(yīng)的安全策略將會(huì)得到正確的應(yīng)用并得到企業(yè)上層管理的加強(qiáng)，因?yàn)檫@本書(shū)恰逢其時(shí)。

關(guān)于此書(shū)

企業(yè)安全是一個(gè)平衡問(wèn)題，安全性太差公司易受攻擊，但過(guò)多的強(qiáng)調(diào)安全又會(huì)妨礙業(yè)務(wù)管理和公司的發(fā)展，其難點(diǎn)在于達(dá)到生產(chǎn)效率和安全之間的平衡。

其它關(guān)于企業(yè)信息安全的書(shū)都把重點(diǎn)放在硬、軟件技術(shù)上，而忽略了最重要的安全威脅――對(duì)人的欺騙。與之相反，此書(shū)的目的，就是要幫助大家理解自己、同事，和公司其他人員是如何被操縱的，并幫助大家建立屏障，謹(jǐn)防成為受害者。本書(shū)的重點(diǎn)放在入侵者用來(lái)盜取信息的非技術(shù)手段上，它能夠?qū)此瓢踩男畔⑼暾援a(chǎn)生威脅，甚至破壞公司的工作成果。

我的任務(wù)由于一個(gè)簡(jiǎn)單的事實(shí)而更加困難――每個(gè)讀者都一直被社會(huì)工程學(xué)高級(jí)專家――他們的父母所控制著，他們有辦法（比如：“這是為了你好”）讓你去做他們認(rèn)為最應(yīng)該做的事。父母?jìng)兙褪鞘褂妙愃粕鐣?huì)工程學(xué)的方法，巧妙的編出看似有理的故事、理由以及借口，來(lái)達(dá)到他們的目的。是的，我們都被我們的父母所引導(dǎo)――那些樂(lè)善好施的（偶爾也不完全如此）社會(huì)工程師們。

由于這種生長(zhǎng)環(huán)境，導(dǎo)致我們軟弱而容易被操縱。可總是對(duì)他人懷有戒心，擔(dān)心上當(dāng)受騙，會(huì)活得很累。在理想的世界里我們應(yīng)對(duì)他人給予絕對(duì)信任，每個(gè)人都是誠(chéng)實(shí)和值得信賴的。但我們并沒(méi)有生活在理想世界中，我們必須鍛煉我們的防欺詐能力以對(duì)付我們的敵人。

這本書(shū)的主要內(nèi)容――第二和第三部分，講述社會(huì)工程師如何實(shí)施欺騙的故事。在這兩部分中，大家將會(huì)看到如下內(nèi)容：

電話盜打者早就發(fā)現(xiàn)的，一個(gè)從電話公司弄到未刊登電話號(hào)碼的方法；
幾個(gè)不同的社會(huì)工程學(xué)方法，甚至可以讓有所警覺(jué)和懷疑的職員吐露出自己的用戶名和口令；
信息中心的管理人員如何被控制以配合攻擊者竊取企業(yè)最機(jī)密的產(chǎn)品信息；
隱私調(diào)查者是如何弄到你的企業(yè)、你本人的隱密信息的，我可以保證，這會(huì)讓你脊背發(fā)涼。

你也許會(huì)認(rèn)為這兩部分中講述的故事實(shí)際上不可能發(fā)生，沒(méi)有人能夠使用書(shū)中的謊言、卑鄙的方法和計(jì)劃真正的達(dá)到目的。事實(shí)上，在每個(gè)案例中，這些故事都是可以成為現(xiàn)實(shí)而且已經(jīng)成為現(xiàn)實(shí)的，這些事情每天都在世界的某個(gè)地方發(fā)生，甚至在你閱讀此書(shū)的時(shí)候都有可能。本書(shū)中的內(nèi)容不僅對(duì)你的商務(wù)信息保護(hù)上有所啟迪，還可以讓你親自阻撓社會(huì)工程師的攻擊以保護(hù)你的私有信息。

在本書(shū)的第四部分，我轉(zhuǎn)變了方向。在這里我想幫助大家建立企業(yè)必要的安全策略和安全意識(shí)培訓(xùn)，以期將員工被社會(huì)工程師利用的可能性降到最低。了解社會(huì)工程師的策略、方法和技巧，在不會(huì)降低公司的生產(chǎn)效率的同時(shí)，幫助你布置合理的控制策略來(lái)保護(hù)企業(yè)的信息資產(chǎn)。

簡(jiǎn)而言之，我寫(xiě)此書(shū)的目的就是要提升大家的安全意識(shí)，以應(yīng)對(duì)來(lái)自社會(huì)工程師的嚴(yán)重威脅，并幫助你的公司和公司員工盡可能的不被利用。或者我應(yīng)該這樣說(shuō)，不再被利用。
第二部　攻擊者的手段　

第二章　無(wú)害信息的價(jià)值

對(duì)大多數(shù)人來(lái)說(shuō)，社會(huì)工程師的真正威脅在哪里？又該如何保持警惕？

如果社會(huì)工程師的目標(biāo)是“最有價(jià)值獎(jiǎng)”――比如，企業(yè)智力資產(chǎn)的核心組成。那么也許需要的是更堅(jiān)固的保險(xiǎn)庫(kù)和全副武裝的保安，對(duì)么？

但在現(xiàn)實(shí)中，壞人滲透企業(yè)安全的第一步就是獲得某些似乎無(wú)利害關(guān)系的信息和文件，這些信息和文件看起來(lái)十分平常，也不重要，公司里的人大都不明白為什么這些東西會(huì)被限制和保護(hù)。

信息的隱藏價(jià)值

社會(huì)工程師十分重視企業(yè)中許多表面上看去無(wú)利害關(guān)系的信息，因?yàn)檫@些信息是他能否披上可信外衣的至關(guān)重要的因素。

在這一章里，我將通過(guò)讓讀者“親身”經(jīng)歷攻擊過(guò)程，來(lái)展示社會(huì)工程師的攻擊手段。有時(shí)從受害人的角度來(lái)表現(xiàn)情節(jié)，讓讀者以當(dāng)事人的身份估計(jì)自己（或是你的同事和員工）可能會(huì)做出的反應(yīng)。而更多的時(shí)候，讓讀者從社會(huì)工程師的角度來(lái)經(jīng)歷攻擊過(guò)程。

第一個(gè)故事著眼于金融行業(yè)的一個(gè)漏洞。

信譽(yù)支票(CREDITCHEX)

曾經(jīng)有一段很長(zhǎng)的時(shí)期，英國(guó)的銀行系統(tǒng)十分閉塞，大街上一位誠(chéng)實(shí)普通的市民并不能隨便走進(jìn)銀行而直接申請(qǐng)一個(gè)銀行帳戶。銀行不會(huì)把他當(dāng)做客戶，除非他帶有某位正式銀行客戶的推薦信。

當(dāng)然，這與如今的表面上人人平等的銀行機(jī)構(gòu)大不一樣。如今辦理銀行業(yè)務(wù)沒(méi)什么地方比友善、平等的美國(guó)更方便了，任何人都可以走進(jìn)銀行輕松的建立一個(gè)日常賬戶，是這樣么？

并非如此。事實(shí)上可以理解，銀行很難為一個(gè)才開(kāi)過(guò)空頭支票的人建立賬戶，這很自然，同樣還有那些有著搶劫銀行和挪用賬款記錄的人。這就是一個(gè)銀行對(duì)其潛在客戶瞬間做出好壞判斷的實(shí)際例子。

與銀行有著重要業(yè)務(wù)聯(lián)系的公司中，有一種機(jī)構(gòu)專門(mén)為銀行提供這類信息，我們把這種機(jī)構(gòu)稱之為“信譽(yù)支票”。它為客戶提優(yōu)質(zhì)的服務(wù)，但同許多公司一樣，它也會(huì)“無(wú)心”的為“有心”的社會(huì)工程師們提供便利的服務(wù)。

第一個(gè)電話：吉姆.安德魯斯(Kim Andrews)

“國(guó)家銀行，我是吉姆，您是想要開(kāi)一個(gè)帳戶么？”
“嗨，吉姆，我想請(qǐng)教個(gè)問(wèn)題。你們與信譽(yù)支票打交道么？”
“是的。”
“你們給信譽(yù)支票打電話時(shí)，怎么稱呼你們提供的號(hào)碼？是叫‘交易號(hào)’(Merchant ID)么？”短暫的沉默，基姆在衡量這個(gè)問(wèn)題，對(duì)方是什么意圖，她是否應(yīng)該回答。打電話的人不容對(duì)方思考接著問(wèn)：“是這樣，吉姆，我在寫(xiě)一本涉及私人調(diào)查的書(shū)?！?br />“是的。”她有了回答的信心，因?yàn)樗€是愿意幫助一個(gè)作家的。
“就叫“交易號(hào)”，對(duì)么？”
“啊，嗯。”
“好的，很好。我是想確認(rèn)我的書(shū)中使用了正確的專業(yè)用語(yǔ)，謝謝你的幫忙，再見(jiàn)，吉姆?！?br />
第二個(gè)電話：克瑞絲.塔伯特(Chris Talbert)

“國(guó)家銀行，開(kāi)戶處，我是克瑞絲?！?br />“嗨，克瑞絲，我是阿萊克斯?！贝螂娫挼娜苏f(shuō)，“我是‘信譽(yù)支票’的客服代表，我們?cè)谧鲆豁?xiàng)改善服務(wù)質(zhì)量的調(diào)查。能耽誤您幾分鐘么？”克瑞絲表示愿意，打電話的人繼續(xù)：“好的。你們部門(mén)營(yíng)業(yè)時(shí)間是多少？”她給予回答，并接著回答下面的一系列問(wèn)題。

“你們部門(mén)有多少人使用我們的服務(wù)？”
“大約多長(zhǎng)時(shí)間給我們打一次咨詢電話？”
“您用的是我們哪一個(gè)800免費(fèi)電話號(hào)碼？”
“我們的客服代表服務(wù)態(tài)度好么？”
“我們對(duì)業(yè)務(wù)的響應(yīng)時(shí)間如何？”
“您在銀行工作多長(zhǎng)時(shí)間了？”
“您通常使用的交易號(hào)是多少？”
“您是否發(fā)現(xiàn)過(guò)我們提供過(guò)的信息不準(zhǔn)確？”
“如果您對(duì)我們的服務(wù)有所建議，建議是什么呢？”最后：
“如果我們把定期調(diào)查表寄到你們部門(mén)，您會(huì)填寫(xiě)么？”

她表示同意，然后彼此簡(jiǎn)單對(duì)了幾句話，電話掛掉，克瑞絲繼續(xù)她的工作。

第三個(gè)電話：亨利.麥克金賽(Henry McKinsey)

“信譽(yù)支票，我是亨利.麥克金賽，需要幫忙么？”

打電話的人表明自己是國(guó)家銀行的職員，并報(bào)出正確的交易號(hào)，以及他想查詢的人的名字和社會(huì)保險(xiǎn)號(hào)。亨利要求出生日期，他也報(bào)上。不一會(huì)兒，亨利看著自己的計(jì)算機(jī)屏幕讀道：“韋爾斯.法果在1998年報(bào)過(guò)一次NSF”――客戶賬款不足（Non Sufficient Funds），支票已開(kāi)出，賬戶里卻沒(méi)有足夠錢(qián)支付的銀行常用專業(yè)用語(yǔ)。

“自那之后，還有資金往來(lái)么？”
“沒(méi)有了。”
“有沒(méi)有申請(qǐng)其他賬戶？”
“我看一下。有的，兩次，都在上個(gè)月。一次是在芝加哥第三聯(lián)合信用會(huì)（Third United Credit Union of Chicago），”他斷斷續(xù)續(xù)地讀出第二個(gè)地方，斯卡奈塔第共同投資（Schenectady Mutual Investments），他不得不逐字母的將名稱拼出?！凹~約州?！彼詈笱a(bǔ)充道。

工作中的私人偵探

所有的這三個(gè)電話都是同一個(gè)人打的，一個(gè)私人偵探，我們且稱他為奧斯卡.格瑞斯（Oscar Grace）吧。格瑞斯有了一位新客戶，他的首批客戶其中之一。幾個(gè)月前還是名警察的格瑞斯發(fā)現(xiàn)他的新工作有些做起來(lái)易如反掌，有些則對(duì)他的智力和創(chuàng)造性是個(gè)挑戰(zhàn)，這件案子無(wú)疑很具有挑戰(zhàn)性。

小說(shuō)中的冷面神探――塞姆.斯貝茲（Sam Spades）和菲利浦.馬洛斯（Philip Marlowes），在漫長(zhǎng)的夜晚久候在汽車?yán)镎T捕一位騙人的伴侶（譯者注：塞姆和菲利浦都是著名小說(shuō)和電影中的人物），現(xiàn)實(shí)中的私人偵探也做同樣的事情。他們?yōu)橄嗷硨?duì)的伴侶之間打探消息，也許沒(méi)小說(shuō)中寫(xiě)得那么夸張，但重要性卻一點(diǎn)不差。他們的方法主要是依靠社會(huì)工程學(xué)的技巧，而不是坐在車子里與守夜的困倦做斗爭(zhēng)。

格瑞斯的新客戶是一位看起來(lái)從不缺少衣服和珠寶的女士。一天，她走進(jìn)他的辦公室，在唯一的一把未堆著文件的皮椅上坐下來(lái)，把她的古琦（譯者注：Gucci，意大利名牌）手包放到桌子上，商標(biāo)沖著他的臉。這位女士告訴格瑞斯，她想跟他的丈夫離婚，但“有一點(diǎn)小麻煩?！?br />
他的丈夫比她早了一步，已經(jīng)從兩人的儲(chǔ)蓄帳戶中把存款提了出來(lái)，并從代理公司（譯者注：專門(mén)從事為客戶買(mǎi)賣股票和債券的公司）的賬戶中提走了更大的款項(xiàng)。她想知道他們的錢(qián)到哪里去了，她的離婚律師對(duì)此無(wú)能為力。格瑞斯猜想她的律師是那種身居住宅區(qū)高樓大廈的法律顧問(wèn)，才不會(huì)為這種“錢(qián)到哪里去了”的爛事自找麻煩。

格瑞斯有辦法么？

他向她保證這是小事一樁，接著報(bào)出價(jià)格，列出費(fèi)用，并收了一張支票做為第一筆傭金。接下來(lái)，他要面對(duì)此事了。如果你以前從未處理過(guò)這樣的事情，并根本不知道如何跟蹤一筆資金的來(lái)龍去脈，你該從何做起呢？一步一步地往前挪？好吧，我們來(lái)講格瑞斯的故事。

我知道信譽(yù)支票以及銀行與其的聯(lián)系，我的前妻曾在銀行工作。但我并不知道那些專業(yè)術(shù)語(yǔ)和業(yè)務(wù)過(guò)程，而向我前妻打聽(tīng)則是浪費(fèi)時(shí)間。

第一步：了解專業(yè)術(shù)語(yǔ)，設(shè)計(jì)出獲取信息時(shí)所需要的對(duì)話，以便聽(tīng)起來(lái)不會(huì)露出馬腳。我給銀行打電話時(shí)，第一位年輕的小姐，吉姆，在我詢問(wèn)他們?nèi)绾蜗蛐抛u(yù)支票確定自己身份時(shí)就有所遲疑，她猶豫著，不知道是否應(yīng)該告訴我。我被難住了么？才不。事實(shí)上，她的猶豫給了我一個(gè)重要的線索，提醒我必須給她提供一個(gè)可信的理由。當(dāng)我騙她說(shuō)為寫(xiě)一本書(shū)而做的調(diào)查時(shí)，便打消了她的懷疑。聲稱自己是一位作家或電影劇本作者，可以讓人放松警惕。

她知道一些有用的信息，比如信譽(yù)支票如何確定打電話人的身份，你可以查詢哪些信息，最重要的――吉姆所在銀行的交易號(hào)。我已準(zhǔn)備好提出這些問(wèn)題，但她的猶豫造成了麻煩。吉姆相信了寫(xiě)書(shū)的故事，可她已經(jīng)有所疑心。如果她更配合些，我就會(huì)多問(wèn)些操作細(xì)節(jié)了。

專業(yè)術(shù)語(yǔ)

馬克（MARK）：受騙者
激警（BURN THE SOURCE）：攻擊者如果讓對(duì)方看出來(lái)攻擊的意圖稱為激警。一旦對(duì)方有所警覺(jué)并通知其他人員，以后再想套出類似的信息就十分困難了。

你必須依靠自己的感覺(jué)，仔細(xì)的傾聽(tīng)馬克的說(shuō)話內(nèi)容和說(shuō)話方式。這位小姐看起來(lái)就十分聰明，如果我提出很多的敏感問(wèn)題，她一定會(huì)敲響警鐘的。即使她不知道我是誰(shuí)，我用哪個(gè)號(hào)碼打過(guò)來(lái)，也不要讓任何人注意到有人在打探消息而有所警覺(jué)。這是因?yàn)槲覀儾幌爰ぞ?#xff0c;有可能還需要給這個(gè)地方打電話的。

我總是留意那些能夠幫助我了解一個(gè)人配合程度的微小跡象，其態(tài)度各異，從“你聽(tīng)起來(lái)真是一個(gè)好人，我相信你所說(shuō)的每一句話”到“打電話給警察，通知國(guó)民警衛(wèi)隊(duì)，這小子要倒霉了”。

我發(fā)現(xiàn)了吉姆的警覺(jué)，于是我打電話給另一個(gè)人――克瑞絲。在我的第二個(gè)電話中，調(diào)查表的把戲很能迷惑人。我把重要的問(wèn)題插進(jìn)可以建立信任感的無(wú)關(guān)緊要的問(wèn)題中，在信譽(yù)支票的交易號(hào)問(wèn)題之前，我通過(guò)問(wèn)她在這家銀行工作多久了這樣一個(gè)私人問(wèn)題，做了一個(gè)最后的小測(cè)試。

私人問(wèn)題就像一顆地雷，有些人會(huì)毫不注意的踩上去，有些人則知道它會(huì)爆炸，趕緊躲開(kāi)。因此，如果我問(wèn)及一個(gè)私人問(wèn)題，她在回答的語(yǔ)氣上沒(méi)有變化，這就意味著她很可能沒(méi)有對(duì)提問(wèn)產(chǎn)生懷疑，我可以在她沒(méi)有疑心的問(wèn)題之下安全地提出關(guān)健問(wèn)題。

一個(gè)好的私人偵探還知道，千萬(wàn)不要在得到關(guān)鍵信息后馬上結(jié)束談話。多問(wèn)兩三個(gè)問(wèn)題，小聊一會(huì)兒，然后再說(shuō)拜拜。如果對(duì)方稍后想起你提過(guò)的問(wèn)題，很可能是你最后提出的問(wèn)題，其它的通常會(huì)忘記。

這樣，我從克瑞絲那里得到了他們的交易號(hào)和他們查詢時(shí)所用的電話號(hào)碼，如果當(dāng)時(shí)我再多問(wèn)些信譽(yù)支票的事，我會(huì)更高興的。但沒(méi)有進(jìn)一步冒險(xiǎn)，也許更好。

如同有了一張空白支票，無(wú)論什么時(shí)候我都可以從信譽(yù)支票那里獲得我需要的信息，甚至不用付費(fèi)。從前面的情況看出，信譽(yù)支票的客服代表十分愿意為我提供信息，于是我知道了我客戶的丈夫最近在兩個(gè)地方申請(qǐng)建立賬戶。那他將要離婚的妻子尋找的那筆資產(chǎn)在哪里呢？無(wú)論在哪家銀行，信譽(yù)支票都會(huì)將其列出吧？

過(guò)程分析

整個(gè)過(guò)程都基于社會(huì)工程師的基本策略之一，獲得公司職員認(rèn)為無(wú)關(guān)緊要的信息（實(shí)際上它是有用的）。第一個(gè)銀行職員肯定了打電話給信譽(yù)支票時(shí)確認(rèn)身份的術(shù)語(yǔ)，第二個(gè)職員提供了電話號(hào)碼和最至關(guān)重要的信息――交易號(hào)。透露這些信息對(duì)于她們來(lái)說(shuō)似乎是無(wú)所謂的，畢竟她們認(rèn)為與之交談的是信譽(yù)支票的工作人員，把號(hào)碼說(shuō)出來(lái)又有什么不對(duì)呢？

前兩個(gè)電話為第三個(gè)電話打下基礎(chǔ)，格瑞斯已經(jīng)具備給信譽(yù)支票打電話需要知道的一切信息，于是冒充信譽(yù)支票的客戶――國(guó)家銀行，輕松地查詢信息。

格瑞斯竊取信息的技巧絲毫不遜于一個(gè)高超的騙子詐騙錢(qián)財(cái)時(shí)所用的手段，在了解人方面格瑞斯久經(jīng)磨練。他懂得把關(guān)健信息藏在無(wú)關(guān)緊要的信息中，也知道在套出交易號(hào)之前用私人問(wèn)題來(lái)測(cè)試對(duì)方的配合程度。

第一個(gè)銀行職員在確認(rèn)信譽(yù)支票專業(yè)術(shù)語(yǔ)上的錯(cuò)誤幾乎是最難防范的，這種專業(yè)用語(yǔ)在銀行業(yè)幾乎人人都知道，因此顯得無(wú)關(guān)緊要――無(wú)害信息最普遍的表現(xiàn)形式。但第二個(gè)職員，克瑞絲，不應(yīng)該在確定打電話人的身份真實(shí)與否之前，就非常樂(lè)意的回答問(wèn)題。她至少應(yīng)該詢問(wèn)對(duì)方的名字和電話號(hào)碼并拔回，這樣如果日后發(fā)生問(wèn)題，她還有一個(gè)打電話人所使用電話號(hào)碼的記錄。在這個(gè)案例中，拔回這樣的一個(gè)電話還會(huì)給攻擊者假扮信譽(yù)支票服務(wù)人員造成很大的困難。

米特尼克信箱

這個(gè)案例中的交易號(hào)相當(dāng)于一個(gè)密碼，如果銀行工作人員將其與自動(dòng)取款機(jī)的個(gè)人識(shí)別碼（PIN）一樣看待，便會(huì)對(duì)它的敏感性給予重視。你所在的機(jī)構(gòu)中有沒(méi)有大家沒(méi)有給予重視的編碼和數(shù)字呢？

用以前記錄的銀行電話號(hào)碼給信譽(yù)支票回拔一個(gè)電話（不要用對(duì)方提供的號(hào)碼），以驗(yàn)證對(duì)方是否在那兒工作，信譽(yù)支票是否正在做一項(xiàng)客戶調(diào)查，這樣的電話還是有必要打的?，F(xiàn)代社會(huì)人們的工作時(shí)間都很緊張，而且這樣的確認(rèn)電話會(huì)占用不少時(shí)間，考慮到現(xiàn)實(shí)中的實(shí)用性，建議工作人員在對(duì)對(duì)方的目的性有所懷疑時(shí)打回一個(gè)確認(rèn)電話。

工程師的圈套

很多人都知道，獵頭公司使用社會(huì)工程學(xué)來(lái)擴(kuò)大業(yè)務(wù)范圍，這里有一個(gè)例子：

在90年代末，某個(gè)不怎么道德的職業(yè)介紹所簽了一家新客戶，一家正在尋找有通訊行業(yè)工作經(jīng)驗(yàn)的電氣工程師的公司。負(fù)責(zé)這個(gè)項(xiàng)目的經(jīng)理是一位女士，有著有磁性的嗓音，和充滿誘惑力的言談舉止，這使得她在電話里很容易獲取別人的好感和信任。這位女士準(zhǔn)備對(duì)移動(dòng)電話服務(wù)提供商進(jìn)行一次偷襲，以期找到一些可能會(huì)投奔到競(jìng)爭(zhēng)對(duì)手那里的工程師。她當(dāng)然不能直接給接線員打電話說(shuō)：“我要找五年經(jīng)驗(yàn)的工程師”，那樣她的動(dòng)機(jī)會(huì)立刻暴露的。她通過(guò)詢問(wèn)看上去無(wú)關(guān)緊要的信息，電話公司人人都可以告訴別人的信息，巧妙的發(fā)動(dòng)了這次襲擊。

第一個(gè)電話：接線員

攻擊者使用迪迪.桑德斯這個(gè)名字給移動(dòng)電話服務(wù)商的總機(jī)打了一個(gè)電話，對(duì)話情形大致如下：

接線員：下午好，我是瑪麗，您有什么事情？
迪迪：請(qǐng)幫我接運(yùn)輸部好么？

接：我不一定能找到這個(gè)號(hào)碼，我查一下目錄，您是哪位？
迪：我是迪迪。
接：您在公司大樓里還是在……？
迪：不，我在外面。
接：你是迪迪……？
迪：迪迪.桑德斯，我以前知道運(yùn)輸部的分機(jī)號(hào)，但我現(xiàn)在忘了。
接：稍等。

為了減少懷疑，在這里迪迪設(shè)計(jì)了一次談話，讓對(duì)方認(rèn)為她是內(nèi)部人員，熟悉公司的情況。

接：您在哪里辦公？主街商廈（Main Place）還是望湖大廈（Lakeview）？
迪：主街。（停頓一下）電話是805-555-6469。

有可能給運(yùn)輸部打電話后也得不到所需的信息，迪迪又要了資產(chǎn)部的電話，作為備用。接線員幫迪迪接到運(yùn)輸部，但線路正忙。于是，迪迪又問(wèn)第三個(gè)電話，位于得克薩斯州首府奧斯丁的收款部號(hào)碼。接線員讓她等一會(huì)兒，并放下電話。接線員有所警覺(jué)了么？她在向保衛(wèi)部門(mén)報(bào)告她接到一個(gè)可疑電話么？才不，迪迪一點(diǎn)都不擔(dān)心。接線員只是有些不耐煩了，但這是她再平常不過(guò)的日常工作了。一分鐘后，接線員拿起電話，查到收款部的號(hào)碼，給迪迪接通。

第二個(gè)電話：派基（Peggy）

對(duì)話大致如下：

派基：收款部，我是派基。
迪迪：嗨，派基，我是橡木城（Thousand Oaks）的迪迪。
派：嗨，迪迪。
迪：你好嗎？
派：還好。

迪迪接著使用企業(yè)內(nèi)部的習(xí)慣用語(yǔ)來(lái)描述成本核算代碼――給一個(gè)特定的機(jī)構(gòu)或工作組分配費(fèi)用的代碼（譯者注：常在報(bào)銷費(fèi)用時(shí)填寫(xiě)）。

迪：很好。我有個(gè)問(wèn)題問(wèn)你。我如何才能找到某個(gè)部門(mén)的成本中心（cost center）？
派：你必須聯(lián)系到那個(gè)部門(mén)的預(yù)算師。
迪：你知道誰(shuí)是橡木城總部的預(yù)算師么？我在填表，但我不知道該填哪個(gè)成本中心？
派：我只知道要找成本中心的代碼時(shí)，打電話給預(yù)算師。
迪：你們部門(mén)在德克薩斯有成本中心么？
派：我們有自己的成本中心，但我們沒(méi)有完整的成本中心列表。
迪：成本中心的代碼是多少位？比如，你們的成本中心？
派：嗯，這樣，你是9WC還是SAT？
迪迪并不知道這是指哪個(gè)部門(mén)或工作組，但這并不重要，她回答道：

迪：9WC。
派：那一般是四位數(shù)字。你說(shuō)你在哪里？
迪：橡木城總部。
派：哦，這里有橡木城的代碼。 1A5N，N是Nancy的N。

僅僅與愿意幫忙的人打交道到足夠時(shí)間，迪迪便得到了她需要的代碼，這個(gè)代碼就是所謂的被人認(rèn)為是無(wú)需保護(hù)的信息，因?yàn)樗鼘?duì)企業(yè)外面的人來(lái)講，似乎沒(méi)有任何價(jià)值。

第三個(gè)電話：有用的錯(cuò)誤號(hào)碼

迪迪的下一步是把成本中心的代碼當(dāng)做籌碼來(lái)開(kāi)發(fā)更大的價(jià)值。她先給資產(chǎn)部打電話，假裝是故意拔錯(cuò)的電話。以“不好意思，但……”做為話頭，她聲稱自己丟失了公司的通訊錄，看看對(duì)方可不可以幫她弄一個(gè)新的。對(duì)方說(shuō)公司已將通訊錄放在內(nèi)部網(wǎng)站上，打印出來(lái)的已經(jīng)過(guò)期了。迪迪說(shuō)她還是想要一份復(fù)印件，對(duì)方讓她打刊印部的電話，并主動(dòng)查到刊印部的電話（也許是想讓這位聲音性感的女士多在電話上呆一會(huì)兒吧）然后告訴了她。

第四個(gè)電話：刊印部的巴特

在刊印部，她與一個(gè)叫巴特的人談上了話。迪迪說(shuō)她是橡木城的，他們新來(lái)了一位顧問(wèn)，需要一份公司的通訊錄。她告訴巴特，對(duì)于這位顧問(wèn)來(lái)說(shuō)，一份復(fù)印件會(huì)讓工作更順利些，即便有些過(guò)期。巴特告訴她需要填一份申請(qǐng)單然后再寄給他。迪迪說(shuō)她手頭沒(méi)有申請(qǐng)單，而且事情很急，她甜言蜜語(yǔ)地問(wèn)巴特是否能發(fā)個(gè)善心幫她填這個(gè)單子？他有些過(guò)分熱心地同意了，接著迪迪報(bào)出單子上的各項(xiàng)內(nèi)容。在報(bào)出虛構(gòu)的簽單人地址時(shí)，她慢慢地說(shuō)出了一個(gè)被社會(huì)工程師稱為“秘密通信地”的號(hào)碼，在這里是一個(gè)郵箱號(hào)，商用的，她的公司為類似這種情況而租用的郵箱。這時(shí)，早先的準(zhǔn)備工作派上了用場(chǎng)。郵遞這份目錄會(huì)產(chǎn)生費(fèi)用，迪迪給出了橡木城成本中心的成本核算代碼：“1A5N，N是Nancy的N。”

幾天后，企業(yè)通訊錄寄到，迪迪發(fā)現(xiàn)比她期望的還要好。上面不僅有名字和電話號(hào)碼，還有人員之間的工作關(guān)系，整個(gè)企業(yè)的組織結(jié)構(gòu)。

這位有著磁性嗓音的女士可以通過(guò)拔打人員電話開(kāi)始她的獵頭行動(dòng)了。她使用社會(huì)工程師久經(jīng)磨練的談話技巧，騙取了開(kāi)始行動(dòng)所需的信息，她現(xiàn)在已經(jīng)準(zhǔn)備好收獲了。

專業(yè)術(shù)語(yǔ)

秘密通信地（Mail Drop）：社會(huì)工程師把租來(lái)的郵箱稱為秘密通信地，通常是用假名字租用的，用來(lái)接收受騙者發(fā)來(lái)的文件和包裹。

米特尼克信箱

猶如拼圖游戲，每條信息本身并沒(méi)有什么聯(lián)系。然而，當(dāng)把它們放在一起時(shí)，一個(gè)清晰的畫(huà)面便出現(xiàn)了。在這個(gè)案例中，社會(huì)工程師看到的畫(huà)面就是那家公司的整個(gè)內(nèi)部結(jié)構(gòu)。

過(guò)程分析

在這次社會(huì)工程學(xué)的攻擊中，迪迪以獲得目標(biāo)企業(yè)的三個(gè)部門(mén)電話為開(kāi)始。這很容易，因?yàn)樗儐?wèn)的電話號(hào)碼并不是秘密，尤其是對(duì)于內(nèi)部工作人員。一個(gè)社會(huì)工程師要聽(tīng)起來(lái)像一個(gè)內(nèi)部人員，此例中的迪迪就很善此道。一個(gè)電話號(hào)碼幫她弄到成本中心的核算代碼，而后者用來(lái)獲取公司職員的通訊錄。她使用的主要工具是：友善的語(yǔ)氣、企業(yè)專業(yè)用語(yǔ)，以及對(duì)那個(gè)最后的上當(dāng)者拋一個(gè)口頭上的媚眼。還有一件無(wú)法輕易得到的必不可少的工具――社會(huì)工程師的操縱能力，它來(lái)自于廣泛的實(shí)踐，和老一輩騙子們口頭傳下來(lái)的經(jīng)驗(yàn)。

更多的“無(wú)價(jià)值”信息

除了成本核算代碼和內(nèi)部分機(jī)電話，還有哪些看似無(wú)用但對(duì)你的敵人來(lái)說(shuō)非常有價(jià)值的信息？

皮特.艾伯爾（Peter Abel）的電話

“嗨，”電話的另一端說(shuō)：“我是帕克斯特（Parkhurst）旅行社的湯姆，您去往舊金山的機(jī)票已訂好，您要寄過(guò)去還是您來(lái)拿？”
“舊金山？”皮特說(shuō)：“我沒(méi)打算去舊金山?！?br />“您是皮特.艾伯爾么？”
“是的，但我沒(méi)有任何旅行的安排?！?br />“嗯，”對(duì)方友好的笑笑，“您確定您不想去舊金山么？”
“如果你認(rèn)為你能跟我老板談?wù)劥耸碌脑挕逼ぬ貙?duì)這次友好的談話開(kāi)起玩笑。
“這聽(tīng)起來(lái)有些亂，”對(duì)方說(shuō)：“我們的系統(tǒng)依照員工號(hào)碼登記旅行安排，也許有人把號(hào)碼弄錯(cuò)了，你的員工號(hào)碼是多少？”

皮特欣然報(bào)出他的號(hào)碼。為什么？因?yàn)檫@如同他平時(shí)所填的公司里很多人都會(huì)看到的人員登記表，人事部、工資名單，很明顯，還有外面的旅行社。沒(méi)人把員工號(hào)碼當(dāng)做秘密。這會(huì)有什么影響嗎？

這很難說(shuō)清。兩到三個(gè)信息也許就可以讓社會(huì)工程師裝扮成他人扮演一場(chǎng)好戲了。弄到一個(gè)工作人員的名字和他的電話號(hào)碼，也許為了保險(xiǎn)起見(jiàn)，再找到他上司的名字和電話號(hào)碼。即使一個(gè)不怎么出色的社會(huì)工程師也會(huì)盡可能的搜集所需要的信息，以使他給下一個(gè)目標(biāo)打電話時(shí)聽(tīng)起來(lái)可信。

如果昨天有人給你打過(guò)電話，聲稱他是公司另一個(gè)部門(mén)的職員，并給出一個(gè)含糊的理由來(lái)詢問(wèn)你的員工號(hào)碼，你很輕易的就告訴他了么？

還有，你的社會(huì)保險(xiǎn)號(hào)呢？（譯者注：美國(guó)、加拿大居民的身份代碼，類似于中國(guó)的身份證號(hào)。）

米特尼克信箱

這個(gè)故事的寓意在于，不要把任何個(gè)人和公司內(nèi)部信息或是識(shí)別標(biāo)識(shí)告訴他人，除非你聽(tīng)出她或他的聲音是熟人，并確認(rèn)對(duì)方有這些信息的知情權(quán)。

預(yù)防措施

公司有責(zé)任讓員工意識(shí)到對(duì)非公共信息的管理不善會(huì)帶來(lái)嚴(yán)重的后果。一個(gè)深思熟慮地信息安全策略，再加上正確的教育和培訓(xùn)，將會(huì)極大的提升員工正確處理企業(yè)內(nèi)部信息的意識(shí)。資料數(shù)據(jù)的分類策略也將幫助你實(shí)施對(duì)信息使用的正確控制，如果沒(méi)有分類策略，所有的內(nèi)部信息都應(yīng)被視為保密，除非另做指定。

采取以下步驟來(lái)防止公司看似無(wú)害信息的泄漏：

信息安全部門(mén)應(yīng)操辦意識(shí)培訓(xùn)來(lái)講解社會(huì)工程師所使用的手段。其中一個(gè)方法，正如上文所提到的，就是獲得看似不敏感的信息，然后把它當(dāng)做籌碼來(lái)取得短暫的信任。每一個(gè)員工都應(yīng)該意識(shí)到，當(dāng)一個(gè)知道公司辦事程序、專業(yè)用語(yǔ)和內(nèi)部標(biāo)識(shí)的人打來(lái)電話時(shí)，并不意味著他或她就可以知道所查詢的信息。對(duì)方可能是公司以前的員工或是知道公司內(nèi)部一般情況的合同工（譯者注：某些大公司將員工分為regular和contractor，前者類似事業(yè)單位的固定工，后者類似合同工）。因此，每個(gè)企業(yè)都有責(zé)任制定適當(dāng)?shù)尿?yàn)證方法，在員工與他們不認(rèn)識(shí)的人通電話或當(dāng)面交談時(shí)使用。

負(fù)責(zé)制訂資料分類政策的人應(yīng)該仔細(xì)檢查信息的分類，注意那些正式員工可以訪問(wèn)到的看似無(wú)害卻可能會(huì)導(dǎo)致敏感信息泄漏的信息。盡管你從未把現(xiàn)金卡（ATM）的密碼告訴過(guò)別人，但你曾把開(kāi)發(fā)公司軟件產(chǎn)品的服務(wù)器告訴過(guò)別人么？這個(gè)信息可不可以讓一個(gè)人裝扮成企業(yè)員工合法地訪問(wèn)企業(yè)網(wǎng)絡(luò)呢？

有時(shí)僅僅知道內(nèi)部的專用術(shù)語(yǔ)，就可以讓社會(huì)工程師顯得知道很多并可以信賴，攻擊者常常利用這個(gè)普遍的錯(cuò)誤觀念來(lái)操縱受騙者。比如，交易碼是銀行開(kāi)戶處用工作人員每天都使用的認(rèn)證標(biāo)識(shí)，這個(gè)標(biāo)識(shí)的意義與密碼一模一樣。如果每一個(gè)工作人員都認(rèn)識(shí)到它的意義――唯一用來(lái)確認(rèn)查詢?nèi)松矸?#xff0c;他們也許會(huì)更加謹(jǐn)慎的對(duì)待它。

米特尼克信箱

正如人所說(shuō)――即使一個(gè)真正的妄想狂也可能有敵人，我們也必須假定每個(gè)企業(yè)都有它的敵人――以網(wǎng)絡(luò)設(shè)施為目標(biāo)危及商業(yè)秘密的攻擊者。不要只把計(jì)算機(jī)犯罪視作一個(gè)統(tǒng)計(jì)數(shù)字，應(yīng)盡早地布置深思熟慮的安全操作方案和策略，這樣才能對(duì)企業(yè)進(jìn)行正確的控制以加強(qiáng)防范。

沒(méi)有公司或只有很少的公司，會(huì)將首席執(zhí)行官或董事長(zhǎng)的直撥電話告訴別人。盡管大多數(shù)公司并不在意在內(nèi)部公開(kāi)電話號(hào)碼，尤其對(duì)于似乎是內(nèi)部員工的人，實(shí)施這樣一個(gè)政策還是必要的：禁止對(duì)外公開(kāi)內(nèi)部職員、合同工、顧問(wèn)和臨時(shí)雇員的電話號(hào)碼。

部門(mén)或工作組的財(cái)務(wù)制度，還有企業(yè)通訊錄（無(wú)論是復(fù)印件還是資料文件或是內(nèi)網(wǎng)上的電子版），都是社會(huì)工程師常見(jiàn)的目標(biāo)。每個(gè)企業(yè)對(duì)這類信息都要有一個(gè)成文的使用政策，并讓所有的員工都知道。保安人員則應(yīng)保留一份備查日志，用以記錄敏感信息透露給企業(yè)外人員的情況。像員工號(hào)碼這樣的信息，它本身不能用做任何形式的驗(yàn)證，內(nèi)部員工不僅要驗(yàn)證查詢信息者的身份，還要確定對(duì)方是否具有相關(guān)信息的知情權(quán)。

在進(jìn)行安全培訓(xùn)時(shí)，試一下這個(gè)方法：無(wú)論什么時(shí)候在接受一個(gè)陌生人詢問(wèn)時(shí)，首先要禮貌的拒絕，直到確認(rèn)對(duì)方身份。然后，在做好心人之前，先遵循公司對(duì)非公共信息的驗(yàn)證和使用政策。這種工作方式也許違背了我們樂(lè)于助人的天性，但多一點(diǎn)有益的懷疑也許是必要的，以免成為社會(huì)工程師的下一個(gè)受騙者。

正如本章故事中所敘述的，看似無(wú)害的信息也許會(huì)成為打開(kāi)企業(yè)最有價(jià)值的秘密信息的鑰匙。
電話公司的人都知道，對(duì)于非公開(kāi)的號(hào)碼查詢信息只能讓已授權(quán)的電話公司知道，線路分配中心的的號(hào)碼只能告訴本公司的職員。然而，即使他們從不會(huì)將這些信息公之于眾，誰(shuí)又能拒絕幫助一位身負(fù)繁重工作任務(wù)的公司員工呢？她對(duì)他保羅起了同情之心，她今天的工作也很不順，于是她小小地破了個(gè)例，來(lái)幫助這個(gè)遇到麻煩的同事。她告訴他電纜線的配對(duì)，以及每個(gè)分配到相應(yīng)地址的號(hào)碼。

米特尼克信箱

人們都很容易相信自己的同事，尤其是在其要求滿足合理的測(cè)試之后。社會(huì)工程師便利用這種知識(shí)從受騙者身上獲取信息以達(dá)到他們的目標(biāo)。

過(guò)程分析

正如你不斷地在這些故事中看到的，企業(yè)專業(yè)術(shù)語(yǔ)的知識(shí)和它的結(jié)構(gòu)組織――各個(gè)辦公室和部門(mén)都是做什么的、具備什么樣的信息，是一個(gè)優(yōu)秀社會(huì)工程師的騙術(shù)箱中的必備品。

逃亡者

一個(gè)我們將稱之為弗蘭克.帕森斯（Frank Parsons）的人已經(jīng)在逃多年，作為60年代地下反戰(zhàn)組織的一分子，他仍然被聯(lián)邦政府通輯。在餐館里，他總面對(duì)著門(mén)口坐著，習(xí)慣于左顧右盼，偶爾會(huì)被人注意到神色緊張。

弗蘭克每隔幾年都會(huì)搬家。有一次，他來(lái)到一個(gè)陌生的城市，準(zhǔn)備找個(gè)工作。對(duì)于弗蘭克這樣有著精湛計(jì)算機(jī)技術(shù)的人（同樣，還有嫻熟的社會(huì)工程學(xué)技術(shù)，即便他從不會(huì)把這寫(xiě)到應(yīng)聘簡(jiǎn)歷上），找到一個(gè)不錯(cuò)的工作還是很容易的。只要不是處于經(jīng)濟(jì)特別緊張的時(shí)期，具備良好計(jì)算機(jī)知識(shí)的人很容易得到施展才能的機(jī)會(huì)并擺脫困境。弗蘭克很快的看中了一份薪資優(yōu)厚的工作，一家龐大、高級(jí)的長(zhǎng)期療養(yǎng)院，而且離他住的地方很近。

他想，這真合適。但當(dāng)他埋頭苦干地填寫(xiě)申請(qǐng)表時(shí)，忽然碰到一個(gè)麻煩。雇用方要求應(yīng)聘者提供一份犯罪歷史記錄的復(fù)印件，這份復(fù)印件他只能親自去州警察局去拿。在工作申請(qǐng)表里就包含著一張需要這個(gè)復(fù)印件的表格，上面還有一個(gè)用來(lái)按指紋的地方。即便他們只需要右手食指的指紋，但如果把這個(gè)指紋與聯(lián)邦調(diào)查局?jǐn)?shù)據(jù)庫(kù)中的指紋做比較的話，他可能很快就要到聯(lián)邦政府資助的地方（譯者注：指監(jiān)獄）食堂工作了。

另一方面，對(duì)于弗蘭克來(lái)說(shuō)，還可能（僅僅是可能），仍然平安無(wú)事，州警察局也許根本不會(huì)把指紋樣發(fā)到聯(lián)邦調(diào)查局。但他如何獲知這一點(diǎn)呢？

怎么辦？他是一個(gè)社會(huì)工程師，你認(rèn)為他會(huì)怎么做呢？

弗蘭克往州警察局撥了一個(gè)電話：“嗨，我們正在為州司法部執(zhí)手一項(xiàng)研究，調(diào)查是否有必要實(shí)施一個(gè)新的指紋認(rèn)證系統(tǒng)?？梢哉乙粋€(gè)你們內(nèi)部熟悉此項(xiàng)工作的人幫我們一下么？”

當(dāng)本地的專家拿起電話時(shí)，弗蘭克詢問(wèn)了一系列有關(guān)他們使用的指紋系統(tǒng)的問(wèn)題，以及檢索和儲(chǔ)存指紋數(shù)據(jù)的能力。他們的系統(tǒng)是否出過(guò)故障？他們?cè)趪?guó)家犯罪信息中心（NCIC）還是僅在本州進(jìn)行指紋檢索？這套系統(tǒng)對(duì)于每個(gè)人來(lái)說(shuō)容易學(xué)習(xí)使用么？

狡猾的弗蘭克悄悄地得到了其中的關(guān)鍵信息。答案對(duì)他來(lái)說(shuō)如音樂(lè)般動(dòng)聽(tīng)――不，他們不在NCIC檢索，他們只在州犯罪信息索引（CII）中查詢。

米特尼克信箱

精明的信息騙子想獲悉法律執(zhí)行程序方面的問(wèn)題時(shí)，從不會(huì)遲疑于給聯(lián)邦、州或是地方政府打電話。利用這些唾手可得的信息，社會(huì)工程師很可能會(huì)繞過(guò)企業(yè)的常規(guī)安全檢查。

那就是弗蘭克所需要知道的，他在這個(gè)州沒(méi)有任何犯罪記錄。因此，他提交了他的工作申請(qǐng)，并被錄用。而且，一直也沒(méi)有任何人出現(xiàn)在他的辦公桌前對(duì)他說(shuō)：“這些先生是聯(lián)邦調(diào)查局的，他們想跟你談?wù)劇！?br />
據(jù)弗蘭克所說(shuō)，他后來(lái)成為那家公司的一名模范雇員。

放到門(mén)口

盡管我們有美麗的無(wú)紙辦公神話，但在企業(yè)，每天還是繼續(xù)打印出大量的紙張，而紙上打印的企業(yè)內(nèi)部信息很容易泄露，即使上面印著機(jī)密并采取了安全防范措施。這里有一個(gè)故事，它將顯示社會(huì)工程師如何獲取你最機(jī)密的文件。

“環(huán)回”欺騙

電話公司每年都要刊印一本叫做測(cè)試號(hào)碼目錄的電話冊(cè)。至少以前是這樣，由于我還處于監(jiān)督釋放期（譯者注：類似假釋），我并不打算去問(wèn)電話公司是否還在這樣做。電話盜打者十分重視這本電話冊(cè)，因?yàn)樗艘粋€(gè)列表，上面列出了所有企業(yè)工人、技師使用的受到嚴(yán)密保護(hù)的號(hào)碼，以及其他一些總是處于忙音的中繼線測(cè)試和檢查號(hào)碼。在這些測(cè)試號(hào)碼當(dāng)中，有一個(gè)術(shù)語(yǔ)稱做“環(huán)回”（loop-around）的號(hào)碼，尤其有用。電話盜打者用它做為一個(gè)找到其它同行聊天的方法，對(duì)他們來(lái)說(shuō)這無(wú)需成本。電話盜打者還把它用來(lái)做為給予對(duì)方的回電號(hào)碼，比如銀行。一個(gè)社會(huì)工程師會(huì)告訴銀行的人，打這個(gè)電話號(hào)碼到他的辦公室，當(dāng)銀行按這個(gè)號(hào)碼（環(huán)回號(hào)碼）打過(guò)來(lái)時(shí)，電話盜打者就可以接到，同時(shí)還很安全，因?yàn)橐罁?jù)這個(gè)號(hào)碼無(wú)法追蹤到他。

測(cè)試號(hào)碼目錄提供許多極其有用的信息，從而被對(duì)信息無(wú)比渴求、內(nèi)分泌激素發(fā)達(dá)的電話盜打者所利用。因此，每當(dāng)新的目錄發(fā)布時(shí)，都會(huì)被大量的喜歡探究電話網(wǎng)絡(luò)的年輕人所覬覦。

米特尼克信箱

為保護(hù)企業(yè)的信息資產(chǎn)，企業(yè)里的每個(gè)人都需要而進(jìn)行安全培訓(xùn)，而不僅僅是那些通過(guò)電子線路或是物理接觸而訪問(wèn)到企業(yè)信息資產(chǎn)的人。

史蒂夫的詭計(jì)

無(wú)疑，電話公司不會(huì)輕易地讓人得到這些目錄。因此，電話盜打者必須想出創(chuàng)造性的辦法。他們?cè)趺醋瞿?#xff1f;一個(gè)對(duì)目錄有著強(qiáng)烈渴望的年輕人可能會(huì)設(shè)計(jì)這樣一個(gè)場(chǎng)景……

某日，南加利福尼亞秋天的一個(gè)傍晚，一個(gè)我稱之為史蒂夫（Stevie）的人給一家小電話公司的總機(jī)室打電話，這個(gè)總機(jī)室所在的大樓負(fù)責(zé)服務(wù)區(qū)內(nèi)所有家庭及企業(yè)電話線路的連接。當(dāng)值班的接線員拿起電話時(shí)，史蒂夫稱自己是電話公司刊印和發(fā)行打印資料部門(mén)的人?！拔覀兛×四銈冃碌臏y(cè)試號(hào)碼目錄，”他說(shuō)。“但出于安全考慮，如果我們沒(méi)有收到舊的目錄，就不能給你們發(fā)新的?？伤湍夸浀娜诉t到了，如果你們把舊的目錄放到門(mén)口，他經(jīng)過(guò)時(shí)就能取到，并放下新的，然后繼續(xù)趕路?！?br />
毫不懷疑的接線員似乎覺(jué)得這很合理，于是照做，把目錄放到大樓門(mén)口，雖然目錄的封皮上用紅字清楚地印著“公司機(jī)密――無(wú)用時(shí)銷毀。”

史蒂夫開(kāi)車過(guò)來(lái)，小心的察看四周，是否有警察或電話公司的保安人員藏在樹(shù)后或在停泊的汽車?yán)锉O(jiān)視。沒(méi)有人。他裝作不經(jīng)意地拾起那本令人垂涎的目錄，開(kāi)車走了。

這就是社會(huì)工程師輕易得到他想要的東西的另一個(gè)例子，這里就使用了那個(gè)簡(jiǎn)單的原則――“直接索取”。

謊言攻擊

不只是企業(yè)的資產(chǎn)處于社會(huì)工程師設(shè)置騙局的危險(xiǎn)之下，有時(shí)，企業(yè)客戶也會(huì)成為受害者。做為客服人員，不可避免的會(huì)受到挫折、譏笑和無(wú)辜的誤解，有些人還會(huì)給企業(yè)的客戶帶來(lái)不良后果。

珍妮.愛(ài)克頓（Janie Acton）的故事

感恩節(jié)的一周，打來(lái)了一個(gè)不同尋常的電話。打電話的人說(shuō)：“我是客戶名單部的愛(ài)德華多（Eduardo），我正與一位女士通著電話，她是執(zhí)行辦公室一位副總裁的秘書(shū)，她需要知道一些信息，而我的計(jì)算機(jī)壞了。我接到了人力資源部一位姑娘發(fā)來(lái)的一封寫(xiě)著‘我愛(ài)你’的郵件，當(dāng)我打開(kāi)附件時(shí)，就再也不能使用我的電腦了。病毒，我中了一個(gè)愚蠢的病毒。就是這樣，你能幫我查一下客戶信息么？”

“當(dāng)然，”珍妮回答?！八鼩Я四愕挠?jì)算機(jī)么？真糟糕?！?br />“是啊?！?br />“我該如何幫你？”珍妮問(wèn)。

在這里，攻擊者為了使自己聽(tīng)起來(lái)可信，便對(duì)想知道的信息預(yù)先做了調(diào)查。他了解到他所需的信息存儲(chǔ)在一個(gè)叫做“客戶名單信息系統(tǒng)”（CBIS）的系統(tǒng)中，并且他還知道了工作人員與系統(tǒng)的關(guān)系。他問(wèn)：“你能從CBIS中查一個(gè)賬戶么？”

“可以，賬戶號(hào)碼是多少？”
“我不知道。我需要你用姓名來(lái)查?！?br />“好的，什么姓名？”
“希瑟.瑪寧（Heather Marning）。”他拼出名字，珍妮把它輸入。
“好的，我查到了。”
“很好。賬戶調(diào)出來(lái)了？”
“嗯哼，調(diào)出來(lái)了?！?br />“賬戶號(hào)碼是什么？”他問(wèn)。
“你有筆么？”
“準(zhǔn)備好了?！?br />“賬戶號(hào)碼，BAZ6573NR27Q?！?br />他重復(fù)了一遍號(hào)碼，然后問(wèn)：“服務(wù)地址是什么？”
她告訴他地址。
“電話呢？”

珍妮也欣然地讀給他。打電話的人向她致謝，并說(shuō)再見(jiàn)，然后掛線。珍妮繼續(xù)下一個(gè)電話，再也不去想這件事情。

亞特.錫利（Art Sealy）的調(diào)查方案

亞特.錫利放棄了為那些小出版社做自由編輯的工作，他找到了一個(gè)更能賺錢(qián)的方法，為作者和相關(guān)業(yè)務(wù)做調(diào)查。不久，他發(fā)現(xiàn)他的工作內(nèi)容越是接近非法與合法之間的模糊界限，他就越可以收取更高的費(fèi)用。從沒(méi)有想到過(guò)，當(dāng)然也從不知道這就是社會(huì)工程，亞特使用著與每個(gè)信息經(jīng)濟(jì)人都使用著的類似方法和技術(shù)，成為了一名社會(huì)工程師。他最終證明自己有此方面的天分，懂得了大多數(shù)社會(huì)工程師必須從他人身上學(xué)來(lái)的技巧。不久，他就毫無(wú)罪惡感的跨過(guò)了非法與合法之間的界限。

一個(gè)位正在寫(xiě)一本尼克松年代時(shí)關(guān)于政府內(nèi)閣方面的書(shū)的作家打電話給我，說(shuō)他想找一個(gè)能夠挖掘出威廉.西蒙（William E. Simon）內(nèi)幕消息的調(diào)查人。威廉.西蒙，曾任尼克松時(shí)期的財(cái)政部長(zhǎng)。西蒙先生現(xiàn)已去世，但這位作家知道他的一名女下屬的名字，并確切的知道她仍然住在華盛頓特區(qū)，可不知道詳細(xì)地址。她的名字也未登記電話，或者至少是沒(méi)有列出她的電話，這就是他之所以聯(lián)系我的原因。我告訴他，好的，沒(méi)問(wèn)題。

這就是那種通常一兩個(gè)電話就可以完成的工作，如果你知道自已是在做什么的話。通常情況下，每個(gè)地方上的公共事業(yè)公司都有可能查到這樣的信息，當(dāng)然，這需要些小小的謊言，但偶爾撒一個(gè)小謊無(wú)所謂吧，對(duì)么？

我喜歡使用不同的方法，只為了讓事情有趣些。“我是執(zhí)行辦公室的某某……”這樣的開(kāi)場(chǎng)白，一直都很好用。同樣還有這次使用的“我正在與某副總裁辦公室的人通話”也不錯(cuò)。

你必須充分發(fā)揮社會(huì)工程師的潛能，把握電話另一端將與之打交道的人的配合性。這次我幸運(yùn)的碰到了一位友善、熱心的女士，僅打了一個(gè)電話，就得到了地址和電話，任務(wù)完成。

米特尼克信箱

絕不要以為所有的社會(huì)工程學(xué)攻擊都會(huì)把騙局設(shè)計(jì)的十分復(fù)雜，以防被人輕易識(shí)破。有些攻擊來(lái)去匆匆、得手即逝，更簡(jiǎn)單的攻擊僅僅是，直接索取。

過(guò)程分析

珍妮肯定知道客戶信息屬于敏感信息，她絕不會(huì)與一位客戶談?wù)摿硪晃豢蛻舻馁~戶，也不會(huì)向外部泄露客戶的私人信息。但是很自然地，當(dāng)一個(gè)公司內(nèi)部的人員打來(lái)電話時(shí)，情況便不同了。做為公司團(tuán)隊(duì)的一員，同事之間最重要的是互相幫助，以完成工作。那個(gè)客戶名單部的工作人員，如果不是病毒把計(jì)算機(jī)搞壞，他自己完全可以查閱客戶信息，她自然很樂(lè)意幫助一個(gè)同事。

亞特漸漸地接近了他真正想尋求的關(guān)健信息，在這一過(guò)程中他還提出了他不必知道的問(wèn)題，如賬戶號(hào)碼。然而，這個(gè)賬戶號(hào)碼也為他提供了一個(gè)退路。萬(wàn)一珍妮有所警覺(jué)，他再打第二個(gè)電話時(shí)，成功的可能性便大大的增加了。因?yàn)?#xff0c;這個(gè)賬戶號(hào)碼會(huì)讓他給下一個(gè)工作人員打電話時(shí)，聽(tīng)起來(lái)更加可信。

從未有人向珍妮撒過(guò)這樣的謊，打電話的人根本就不是客戶名單部門(mén)的人。當(dāng)然，珍妮也不應(yīng)被責(zé)怪。她并不熟悉那條“在談?wù)摽蛻魴n案信息之前，一定要知道與之談話的人是誰(shuí)”的規(guī)則，沒(méi)有人告訴過(guò)她象亞特這樣打來(lái)電話的危險(xiǎn)性，公司里也沒(méi)有制定這樣的政策，她也從來(lái)沒(méi)有培訓(xùn)過(guò)這方面的內(nèi)容，而且她的主管也從未提及過(guò)。

預(yù)防措施

企業(yè)安全培訓(xùn)的一個(gè)要點(diǎn)就是：如果一個(gè)來(lái)訪者或是打電話的人知道公司某人的名字，或是知道一些內(nèi)部用語(yǔ)或業(yè)務(wù)程序，并不意味著他的身份不值得懷疑。而且絕對(duì)不要認(rèn)為他是可信任的，從而把內(nèi)部信息泄露給他，或是讓他訪問(wèn)到你的計(jì)算機(jī)系統(tǒng)和內(nèi)部網(wǎng)絡(luò)。在安全培訓(xùn)中需要反復(fù)強(qiáng)調(diào)：一旦有所懷疑，必須確認(rèn)、確認(rèn)，再確認(rèn)。

在過(guò)去，能夠訪問(wèn)到企業(yè)內(nèi)部信息是擁有權(quán)力和級(jí)別的標(biāo)志。工人們往熔爐里添燃料、運(yùn)轉(zhuǎn)機(jī)器，員工們打字、填寫(xiě)報(bào)告，工頭或是上司告訴他們做什么，何時(shí)做，如何做。只有工頭或上司才知道一個(gè)班上的每個(gè)員工生產(chǎn)多少零件，工廠這個(gè)星期、下個(gè)星期、這個(gè)月底需要生產(chǎn)出什么顏色、什么尺寸、什么數(shù)目的產(chǎn)品來(lái)。

工人們負(fù)責(zé)機(jī)器、工具和原材料，老板們負(fù)責(zé)處理信息。工人只需要知道與本職工作有關(guān)的信息。

那時(shí)的情況與現(xiàn)在有所不同，不是么？現(xiàn)在，許多工廠的員工都使用某種計(jì)算機(jī)或是由計(jì)算機(jī)控制的機(jī)器。對(duì)大多數(shù)人來(lái)說(shuō)，重要的信息都直接放在使用者的桌子上，以便于他們履行自己的職責(zé)來(lái)完成工作。在現(xiàn)代社會(huì)，幾乎每一名員工都離不開(kāi)處理信息的工作。因此，企業(yè)的安全策略應(yīng)遍布企業(yè)的各個(gè)地方，而無(wú)所謂職位的高低不同。每個(gè)人都應(yīng)該認(rèn)識(shí)到，不僅是上司或管理人員擁有攻擊者想追尋的信息。今天，每個(gè)層次級(jí)別上的職員，甚至是不使用計(jì)算機(jī)的人，都有可能成為攻擊者的目標(biāo)。而公司新近雇用的客服人員則是社會(huì)工程師最容易突破的薄弱環(huán)節(jié)，企業(yè)的安全培訓(xùn)和安全策略務(wù)必要加強(qiáng)這方面的注意。

第三章　正面攻擊――直接索取

很多時(shí)候，社會(huì)工程學(xué)的攻擊是十分復(fù)雜的，包括一系列的步驟和精心的策劃，并同時(shí)具備操作技巧和透徹的背景知識(shí)。但令人驚奇的是一位技藝高超的社會(huì)工程師經(jīng)?？梢允褂煤?jiǎn)單、直接、正面的攻擊方式來(lái)達(dá)到目標(biāo)。直接了當(dāng)?shù)拈_(kāi)口要求所需的信息，也許僅此一點(diǎn)就已經(jīng)足夠，正如下文中你即將看到的。

快速搞定線路分配中心

想知道某人未登記的電話號(hào)碼么？一個(gè)社會(huì)工程師可以告訴你半打的方法（你也可以在本書(shū)中的其它故事內(nèi)容中看到），但最簡(jiǎn)單的辦法就是撥出這樣的一個(gè)電話……

請(qǐng)告訴我號(hào)碼

攻擊者撥打線路分配中心（Mechanized Line Assignment Center）未公開(kāi)的電話公司號(hào)碼，接聽(tīng)電話的是個(gè)女子，攻擊者說(shuō)道：“嗨，我是保羅.安東尼（Paul Anthony），我是線路員。是這樣，這里有一個(gè)接線盒在火災(zāi)中燒毀，警察認(rèn)為是有人故意燒掉自己的房子來(lái)騙保險(xiǎn)。他們讓我一個(gè)人來(lái)為二百對(duì)接線柱接線?，F(xiàn)在，我真得需要幫忙了。南大街6723號(hào)的線路是怎樣分配的？”

這些故事可能會(huì)導(dǎo)致你認(rèn)為我把業(yè)務(wù)中接觸到的每一個(gè)人都看成十足的傻瓜，都很樂(lè)意地、甚至是渴望著把他或她所擁有的每一個(gè)秘密泄露出去。社會(huì)工程師知道，這是不可能的。為什么社會(huì)工程的攻擊容易得手呢？這不是因?yàn)槿藗兊挠薮阑蚴侨狈ΤＷR(shí)，而是因?yàn)?#xff0c;我們?nèi)祟惡苋菀妆徊倏v而把信任用錯(cuò)了地方，因此被欺騙。社會(huì)工程師早已料到會(huì)受到阻力和懷疑，他隨時(shí)準(zhǔn)備著把人們對(duì)他的懷疑扭轉(zhuǎn)。一個(gè)優(yōu)秀的社會(huì)工程師策劃攻擊時(shí)如同下象棋，預(yù)先想到對(duì)方可能會(huì)提出什么樣的問(wèn)題，從而把合適的答案準(zhǔn)備好。他的一個(gè)很常用的技巧就是給受騙者建立信任感，一個(gè)騙子如何才能獲得你的信任呢？相信我，他能夠。
?
信任：欺騙的關(guān)健

社會(huì)工程師越把情況營(yíng)造得像普通的業(yè)務(wù)聯(lián)系，就越能減少懷疑。當(dāng)人們沒(méi)有疑心時(shí)，得到他們的信任就很容易了。一旦取得你的信任，如同吊橋放下，城門(mén)打開(kāi)，他就可以入內(nèi)隨心所欲地取得他所需的信息。

注：你也許注意到我在提及社會(huì)工程師、電話盜打者和設(shè)計(jì)騙局的人時(shí)，大多數(shù)情況下用的是“他”。這不是偏見(jiàn)，這只是反應(yīng)了一個(gè)事實(shí)――從事這些領(lǐng)域的人大都是男性。但盡管女社會(huì)工程師很少，可這個(gè)數(shù)字正在增長(zhǎng)。不要僅僅因?yàn)槁?tīng)到了一位女性的聲音而放松了你的警覺(jué)，女社會(huì)工程師還是有的。事實(shí)上，女社會(huì)工程師有著獨(dú)特的優(yōu)勢(shì)，利用她們的女性特征來(lái)得到對(duì)方的配合。本書(shū)以后的內(nèi)容中將會(huì)出現(xiàn)少量的女性社會(huì)工程師。

第一個(gè)電話：安德瑞亞.洛偑茲（Andrea Lopez）

安德瑞亞.洛偑茲在她工作的音像店接到了一個(gè)電話，她立刻微笑起來(lái)（當(dāng)一位客戶特意打來(lái)電話對(duì)服務(wù)表示滿意時(shí)，總會(huì)讓人高興）。打電話的人說(shuō)，在他們店里得到了非常好的服務(wù)，他想給寫(xiě)封信告訴他們的經(jīng)理。他詢問(wèn)經(jīng)理的名字和通信地址，她告訴他名字是湯米.艾里森（Tommy Allison），并把通信地址也給了他。就在要掛電話時(shí)，他又有了一個(gè)想法，他說(shuō)：“我還想寫(xiě)給你們公司總部，那兒的電話是多少？”她也告訴了他。他道了謝謝，并說(shuō)了些她的服務(wù)十分讓人滿意之類的話，然后再見(jiàn)了。“像這樣的電話，”她想，“總能讓上班的時(shí)間過(guò)的快些，如果多有些這樣的人就好了?！?br />
第二個(gè)電話：吉妮

“歡迎致電音像工作室，我是吉妮，需要幫忙么？”
“嗨，吉妮，”打電話者熱情的打招呼，聽(tīng)起來(lái)就像每個(gè)星期都給吉妮通話似的?！拔沂菧?艾里森”，863店森林公園的經(jīng)理。我這兒有一位客戶，想租《洛奇5》，可我們這兒已經(jīng)沒(méi)有拷貝了，你能查一下你們那兒有么？”

過(guò)了一會(huì)兒，她回答：“是的，我們還有三個(gè)拷貝。”

“好的，我問(wèn)一下客戶是否愿意過(guò)去，謝謝你。如果有任何需要，請(qǐng)致電湯米，我很樂(lè)意為你效勞?！?br />
接下來(lái)的幾個(gè)星期，吉妮又接到過(guò)三、四次湯米尋求幫助的電話，這些要求似乎都很正常，他總是十分友善，沒(méi)有故意接近她的意思。同時(shí)，稍稍有些嘮叨。如“你聽(tīng)說(shuō)橡樹(shù)園的大火了么？一連串的街道都封掉了，”類似的話。對(duì)于日常工作來(lái)說(shuō)，這些電話可以讓人得到片刻的休息，吉妮總是樂(lè)意接到他的電話。

一天，湯米打來(lái)電話，聽(tīng)上去有些焦慮，他說(shuō)：“你們的計(jì)算機(jī)出過(guò)問(wèn)題么？”

“沒(méi)有，”吉妮回答?！霸趺戳?#xff1f;”
“有個(gè)人開(kāi)車把電線桿撞了，電話公司的修理人員說(shuō)城市的一部分地區(qū)沒(méi)辦法打電話和上網(wǎng)，直到他們修好?！?br />“哦，不會(huì)吧。那個(gè)人受傷了么？”
“他們把他送到救護(hù)車上了。別管這些了，我需要你幫個(gè)忙。我這兒有一個(gè)你們的客戶，想租《教父2》，但他沒(méi)帶租片卡，你能幫我確認(rèn)一下他的信息嗎？”
“是的，當(dāng)然。”
　　
湯米說(shuō)出客戶的名字和地址，吉妮在計(jì)算機(jī)中找到，然后告訴湯米客戶的賬號(hào)。

“有過(guò)期未還和欠款記錄么？”湯米問(wèn)。
“沒(méi)有。”
“好的，很好。我手工給他登記一下賬戶，計(jì)算機(jī)故障恢復(fù)之后再錄入數(shù)據(jù)庫(kù)。而且，客戶還想用在你們店使用的維薩卡（Visa）付賬，但他也沒(méi)帶。他的卡號(hào)和有效期是多少？”

吉妮都告訴了他。湯米最后說(shuō)：“嗨，謝謝幫忙，回聊！”

道伊爾.羅尼甘（Doyle Lonnegan）的故事

羅尼甘可不是一個(gè)普通的年輕人，他過(guò)去是一個(gè)收藏家，欠了不少賭債，如果不是這些賭債弄得他焦頭爛額的話，他還會(huì)偶爾繼續(xù)他的愛(ài)好。在這個(gè)故事里，他僅僅往一家音像店打了幾個(gè)電話，就得了一筆現(xiàn)金。這聽(tīng)起相當(dāng)不錯(cuò)，因?yàn)樗摹翱蛻簟睕](méi)有人知道如何設(shè)計(jì)這個(gè)騙局，他們需要像羅尼甘這類人的知識(shí)和才能。

每個(gè)人都知道，當(dāng)他們?cè)谂谱郎线\(yùn)氣差或是犯錯(cuò)誤而輸錢(qián)時(shí)，是不會(huì)用支票來(lái)代替賭資的。可為什么我的這些朋友們還要跟一個(gè)沒(méi)帶鈔票的騙子賭錢(qián)呢？不要問(wèn)了，也許他們的智商有點(diǎn)兒?jiǎn)栴}，但他們是我的朋友，我又能怎么辦？

這個(gè)家伙沒(méi)帶錢(qián)，于是他們收了他的支票。讓你說(shuō)，他們應(yīng)該開(kāi)車把他帶到自動(dòng)柜員機(jī)那兒去吧？本應(yīng)這樣做的。但他們沒(méi)有，他們收了一張支票，3230美元。不用想，這是張空頭支票。還有什么其它可能呢？于是，他們給我打電話，問(wèn)我能幫忙么？我不再用門(mén)去擠別人的手指了（譯者注：指暴力手段），而且，現(xiàn)在有更好的辦法。我告訴他們，我要30%的傭金，看我的本事吧。他們給了我他的名字和地址，我用計(jì)算機(jī)找到離他最近的音像店。我并不著急，先后打了四個(gè)電話來(lái)討好音像店的經(jīng)理，然后，我就得到了那個(gè)騙子的維薩卡號(hào)。我有一個(gè)朋友開(kāi)了一間半裸吧（譯者注：裸露半身的脫衣舞酒吧），用了50美元，把那個(gè)騙子所欠的賭資當(dāng)做酒吧消費(fèi)從他的維薩卡上劃出，讓他給老婆解釋去吧。你認(rèn)為他會(huì)找信息卡公司說(shuō)他沒(méi)有花這筆錢(qián)嗎？好好想想。他知道我們知道他是誰(shuí)，而且如果我們可以拿到他的維薩卡號(hào)，他會(huì)認(rèn)為我們還可以做更多的事情，因此，這件事沒(méi)什么可擔(dān)心的。

過(guò)程分析

湯米打給吉妮的第一個(gè)電話僅僅是為了建立信任，當(dāng)真正的攻擊開(kāi)始時(shí)，她已經(jīng)放松了警惕并認(rèn)同湯米所聲稱的身份――另一家連鎖店的經(jīng)理。有什么理由不接受他呢？她已經(jīng)認(rèn)識(shí)了他。當(dāng)然，僅僅是通過(guò)電話聯(lián)系，可他們已經(jīng)建立了工作上的友誼，那是信任的基礎(chǔ)。一旦她認(rèn)為他是可以相信的人――同一家公司的一位經(jīng)理，信任感就已經(jīng)建立，剩下的事就順其自然了。

米特尼克信箱

建立信任的欺騙技術(shù)是社會(huì)工程學(xué)最有效的策略之一，你務(wù)必要考慮你是否真正認(rèn)識(shí)與你談話的人。在一些不常見(jiàn)的情形下，對(duì)方很可能不是他自己聲稱的那個(gè)人。因此，我們必須學(xué)會(huì)觀察、思考和提問(wèn)。

主題變奏：攫取信用卡

建立信任感，不一定非得給受騙者打上一系列的電話，如上文中講述的案例。我想起一個(gè)親身經(jīng)歷的故事，它建立信任感只用了5分鐘。

驚奇吧，爸爸

有一次，我與漢瑞（Henry）和他父親坐在一家餐館。談話中，漢瑞責(zé)怪他父親把信用卡號(hào)像電話號(hào)碼一樣隨便泄露給別人。

“當(dāng)然，買(mǎi)東西時(shí)必須使用信用卡號(hào)，”漢瑞說(shuō)?！暗前涯愕目ㄌ?hào)告訴一家商店，并讓他們記錄下來(lái)，那是非常不明智的?！?br />“我只在音像工作室這么做過(guò)，”康克林（Conklin）先生說(shuō)，“但我每個(gè)月都會(huì)查看我的維薩卡記錄，如果他們多收費(fèi)用，我會(huì)知道的?！?br />“當(dāng)然，”漢瑞說(shuō)?！暗麄円坏┲懒四愕目ㄌ?hào)，別人就很容易弄到了?！?br />“你是指不懷好意的店員么？”
“不，我是指任何人，不僅僅是店員?！?br />“你在信口開(kāi)河，”康克林先生說(shuō)。
“我可以現(xiàn)在就打電話，讓他們告訴我你的維薩卡號(hào)，”漢瑞立刻大聲回應(yīng)道。
“不，這不可能，”他父親說(shuō)。
“我可以在五分鐘之內(nèi)搞定這件事，就在你的面前，連桌子我都不會(huì)離開(kāi)?！?br />
康克林先生看起來(lái)有些緊張，他自己感覺(jué)到了這種緊張，但并不想讓別人知道?！澳愀揪筒恢滥阍谡f(shuō)什么，”他急促地說(shuō)，并掏出錢(qián)包拿出50美元甩到桌子上，“如果你能做到你說(shuō)的話，這是你的了。”

“我不想要你的錢(qián)，爸爸?！睗h瑞拿出手機(jī)，詢問(wèn)他父親是哪一個(gè)音像店分店，然后打電話給查號(hào)臺(tái)找到分店的電話號(hào)碼以及謝爾曼橡樹(shù)園（Sherman Oaks）分店的電話號(hào)碼。接著，他打電話給謝爾曼.奧克分店，幾乎用了跟上一個(gè)故事完全一樣的方法，很快得到了經(jīng)理的名字和分店的店號(hào)（譯者注：如上文中提到的863分店）。然后，他打電話給登記著他父親賬戶的分店，利用剛剛得到的名字和分店店號(hào)來(lái)假扮分店經(jīng)理。接著使用相同的手法：“你們的計(jì)算機(jī)沒(méi)出問(wèn)題吧？我們這兒的計(jì)算機(jī)時(shí)好時(shí)壞?！甭?tīng)到了她的回答后他接著說(shuō)，“嗯，是這樣，我這兒有一位你們的客戶想租一部片子，可我們的計(jì)算機(jī)現(xiàn)在壞掉了，我需要你幫忙查一下客戶的賬號(hào)以確定他就是你們店的客戶?！?br />
漢瑞給出他父親的名字，使用了一個(gè)稍有不同的方法，他請(qǐng)求對(duì)方把賬戶信息讀出來(lái)：地址、電話，開(kāi)戶日期，然后說(shuō)：“嗨，是這樣，我這兒有一大堆等著的客戶，他的信用卡和有效期是多少？”漢瑞一支手在耳邊拿著手機(jī)，另一支手在餐巾紙上寫(xiě)。打完電話，他把餐巾紙推到瞪著眼睛、張著嘴巴的父親面前，可憐的父親看上去完全震驚了，似乎他的信任系統(tǒng)已被完全顛覆。

過(guò)程分析

當(dāng)某個(gè)不認(rèn)識(shí)的人詢問(wèn)你某事時(shí)，想想自己是什么態(tài)度。如果一個(gè)衣衫襤褸的陌生人來(lái)到你門(mén)前，很可能你不會(huì)讓他進(jìn)去。如果是一位衣著得體、皮鞋明亮、發(fā)型完美，舉止優(yōu)雅并面帶微笑的陌生人，你可能就會(huì)放松警覺(jué)。也許他就是現(xiàn)實(shí)生活中的占森（譯者注：電影《十三號(hào)星期五》中的殺人狂）呢？但你仍然愿意相信他，只要他看起來(lái)正當(dāng)，手里也沒(méi)有握著餐刀。

米特尼克信箱

人們習(xí)慣的認(rèn)為自己在任何特定的事務(wù)中不大可能走進(jìn)騙局，否則至少也得有理由相信這是個(gè)騙局。大多數(shù)情況下，我們權(quán)衡風(fēng)險(xiǎn)，然后假定別人沒(méi)有惡意。這就是有教養(yǎng)人的一般行為，至少那些沒(méi)有被操縱、利用或被騙過(guò)一大筆錢(qián)的有教養(yǎng)的人這樣認(rèn)為。在兒時(shí)，我們的父母告誡我們不要相信陌生人，也許在當(dāng)今的工作環(huán)境下，我們所有的人都就應(yīng)謹(jǐn)記這個(gè)陳舊的規(guī)則?！?br />
工作中，人們總是會(huì)有各種各樣的請(qǐng)求。你有這個(gè)人的電子郵件地址么？最新的客戶名單在哪兒？誰(shuí)是這個(gè)項(xiàng)目本部分的分包商？請(qǐng)發(fā)給我最新的計(jì)劃更新。我需要新版本的源代碼。有時(shí)，做出這些請(qǐng)求的人你并不直接認(rèn)識(shí)，或是公司其他部門(mén)的人，或是他們自己說(shuō)是其他部門(mén)的人。但如果他們提供的信息是正確的，并且看來(lái)熟悉公司內(nèi)情（“瑪麗安說(shuō)……”、“這里是K16服務(wù)器”、“……新產(chǎn)計(jì)劃第26次修訂版”），我們便把信任圈擴(kuò)大他們身上，輕率的滿足了他們的請(qǐng)求。

當(dāng)然，我們也許會(huì)有些困惑的問(wèn)自己：“為什么這個(gè)達(dá)拉斯（Dallas）分廠的人想知道新的產(chǎn)品計(jì)劃？”或是“說(shuō)出服務(wù)器的名稱會(huì)有害處么？”等等這類問(wèn)題，如果答案看上去合情合理，對(duì)方的言行也比較可靠，我們便會(huì)放松警惕，恢復(fù)相信同事的習(xí)慣，并滿足（有理由的）對(duì)方的請(qǐng)求。

絕不要認(rèn)為攻擊者只會(huì)把目標(biāo)鎖定到使用計(jì)算機(jī)的人身上，收發(fā)室的人也可能是目標(biāo)?！澳軒蛡€(gè)忙么？把這個(gè)放到公司內(nèi)部的郵袋。”收發(fā)室的人可不知道它是一張帶有特殊程序的針對(duì)首席執(zhí)行官秘書(shū)的軟盤(pán)。這樣，攻擊者本人就擁有了首席執(zhí)行官的郵件拷貝。不會(huì)吧？這事情真得會(huì)在企業(yè)中發(fā)生么？答案是，絕對(duì)可能。

一美分的手機(jī)

許多人都在尋找好的機(jī)會(huì)，不達(dá)目的不罷休。社會(huì)工程師不然，他們找到辦法使機(jī)會(huì)變得更好。比如，某公司進(jìn)行一項(xiàng)誘人的市場(chǎng)優(yōu)惠活動(dòng)，社會(huì)工程師就會(huì)想辦法擴(kuò)大他的利益。

不久以前，一家全國(guó)性的無(wú)線通訊公司發(fā)起了一個(gè)大規(guī)模的促銷活動(dòng)，只要你登記接受一種資費(fèi)方式，便可以得到一部全新的手機(jī)，只收一美分。對(duì)于一個(gè)精明的消費(fèi)者來(lái)說(shuō)，在登記一種資費(fèi)方式之前，有好多問(wèn)題要問(wèn)清楚。通訊服務(wù)是模擬還是數(shù)字的，或是兩者結(jié)合？每個(gè)月的免費(fèi)通話時(shí)間是多少？是否包含漫游費(fèi)…… 等等，等等，尤其重要的是資費(fèi)合同時(shí)限――你承諾的資費(fèi)方式是多長(zhǎng)時(shí)間，幾個(gè)月還是幾年？

想像一個(gè)這樣的情景，一位費(fèi)城（Philadelphia）的社會(huì)工程師被通訊公司提供的一款十分便宜的手機(jī)所打動(dòng)，但他討厭與其捆綁的資費(fèi)方式。沒(méi)什么大不了的，他也許使用下面的方法來(lái)解決此事……

第一個(gè)電話：泰德（Ted）

他首先打給位于西吉拉德（West Girard）的一家電器連鎖店。

“電子商城，我是泰德?！?br />“嗨，泰德，我叫亞當(dāng)。是這樣，我在前幾天晚上，跟你們的一個(gè)男銷售員談到一個(gè)手機(jī)，我說(shuō)一旦決定了就給他打電話?？晌彝怂拿?#xff0c;你們值夜班的人是誰(shuí)？”
“不只一位，是威廉么？”
“不知道，也許是吧。他長(zhǎng)什么樣？”
“高個(gè)子，瘦瘦的?！?br />“我想是他吧，他姓什么來(lái)著？”
“哈德利。哈－德－利（H--A--D--L--E-- Y.）”
“是的，是他。他什么時(shí)候上班？”
“我不知道他這星期的排班，但上夜班的人5點(diǎn)到?！?br />“好的，那我試試晚上找他。謝謝，泰德?！?br />
第二個(gè)電話：凱蒂（Katie）

第二個(gè)電話打給位于北廣街（North Broad Street）的連鎖店。

“嗨，電器商城。我是凱蒂，需要幫忙么？”
“凱蒂，嗨！我是威廉.哈德利，西吉拉德店的。今天過(guò)得怎么樣？”
“有點(diǎn)兒忙，什么事？”
“我有一位顧客想購(gòu)買(mǎi)那個(gè)一美分的手機(jī)，你知道這個(gè)手機(jī)的資費(fèi)捆綁吧？”
“是的，上星期我售出了一些?！?br />“你那兒還有這種資費(fèi)捆綁的手機(jī)么？”
“還有一堆呢?！?br />“很好。我剛售出了一個(gè)這種手機(jī)的資費(fèi)，顧客通過(guò)了信用記錄（譯者注：美國(guó)通訊公司會(huì)查詢手機(jī)用戶過(guò)去的使用記錄，以確定用戶是否具備享受某一資費(fèi)方式的資格），我們也簽了資費(fèi)合同。我查了一下該死的存貨記錄，卻沒(méi)有這種手機(jī)了。這讓我很難做，你能幫個(gè)忙么？我讓他到你們店去買(mǎi)一美分的手機(jī)，你賣給他后開(kāi)張發(fā)票。他買(mǎi)到手機(jī)后會(huì)給我打電話，然后我再告訴他怎么用。”
“好的，當(dāng)然可以。讓他來(lái)吧。”
“太好了，他叫泰德，泰德.巖西（Ted Yancy）。”

一個(gè)自稱泰德.巖西的人來(lái)到北廣街連鎖店，凱蒂開(kāi)了一張發(fā)票，把一美分的手機(jī)賣給他，完全依照她的“同事”交待給她的事情，從而徹底地掉入騙局。付錢(qián)時(shí)，這個(gè)顧客的錢(qián)包里一枚硬幣也沒(méi)有，于是他到收款臺(tái)的零錢(qián)碟中拿了一枚，交給她完成登記。他甚至一分錢(qián)都沒(méi)有花就得到了那部手機(jī)。

過(guò)程分析

人們會(huì)很自然地相信熟悉公司內(nèi)部的業(yè)務(wù)流程和專業(yè)用語(yǔ)，并聲稱自己是公司同事的人。這個(gè)故事中的社會(huì)工程師就是利用了這一點(diǎn)，通過(guò)了解促銷活動(dòng)的細(xì)節(jié)，扮做公司的職員，并要求另一個(gè)分店人員的幫助。這種事情在各零售店之間以及一個(gè)公司的各部門(mén)之間經(jīng)常發(fā)生，這是因?yàn)槿藗儧](méi)有機(jī)會(huì)接觸，天天與從未見(jiàn)過(guò)面的同事打交道。

入侵FBI

人們通常不住地去想他們的公司會(huì)在網(wǎng)站上提供什么資料。我在洛杉磯一個(gè)電臺(tái)做每周一次的脫口秀節(jié)目，節(jié)目制作者在網(wǎng)上做了一次搜索，發(fā)現(xiàn)了一份訪問(wèn)國(guó)家犯罪信息中心（NCIC）的操作說(shuō)明拷貝。不久他發(fā)現(xiàn)，真正的NCIC操作說(shuō)明原件就在網(wǎng)上，這是一份相當(dāng)敏感的文檔，它記錄著從FBI的國(guó)家犯罪記錄數(shù)據(jù)庫(kù)中提取信息的所有操作說(shuō)明。對(duì)于執(zhí)法部門(mén)，這份說(shuō)明就是一本從國(guó)家數(shù)據(jù)庫(kù)中提取犯罪記錄和罪犯信息的格式和代碼的操作手冊(cè)。國(guó)家的所有執(zhí)法部門(mén)都可以依據(jù)他們所屬的權(quán)限從同一個(gè)數(shù)據(jù)庫(kù)中查詢有助于辦案的信息，手冊(cè)里包含了數(shù)據(jù)庫(kù)中用來(lái)標(biāo)明各種信息的代碼，從各種各樣的紋身到各式各樣的輪船外殼，再到失竊紙幣和債券的面額。

任何人接觸到這本手冊(cè)的人都可以在上面找出從國(guó)家數(shù)據(jù)庫(kù)中查找信息的命令和語(yǔ)法規(guī)則，然后依據(jù)手冊(cè)上的步驟指導(dǎo)，再加一點(diǎn)膽量，人人都可以從數(shù)據(jù)庫(kù)中提取信息，而且手冊(cè)還提供使用數(shù)據(jù)庫(kù)系統(tǒng)的服務(wù)支持電話。也許你的公司也有這樣的包含著產(chǎn)品代碼或是查詢敏感信息的代碼手冊(cè)。

FBI幾乎肯定不知道如此敏感的資料暴露在網(wǎng)上，我想如果他們知道此事一定會(huì)很惱火的。一份拷貝是由俄勒岡州政府部門(mén)放到網(wǎng)上的，另一份是由得克薩斯州的執(zhí)法機(jī)構(gòu)傳到網(wǎng)上。為什么？這都是因?yàn)?#xff0c;也許某人覺(jué)得這些信息可能沒(méi)什么價(jià)值，放到網(wǎng)上也不會(huì)有什么害處。也許有人為了內(nèi)部人員使用上的方便，而它放到內(nèi)網(wǎng)上，卻從未想到會(huì)被在網(wǎng)上使用搜索引擎（如Google）的人找到，包括僅僅是好奇的人、還有想當(dāng)警察的人、黑客，以及有組織的犯罪團(tuán)伙。

接入系統(tǒng)

利用這樣的信息來(lái)欺騙有政府或企業(yè)背景的人，使用的準(zhǔn)則是相同的：由于社會(huì)工程師知道如何訪問(wèn)特定的數(shù)據(jù)庫(kù)或應(yīng)用程序，或是知道公司的服務(wù)器名稱等類似的事情，他因此具備可信性，這種可信導(dǎo)致信任。一旦社會(huì)工程師擁有了這樣的代碼，獲得所需信息就十分簡(jiǎn)單。在這個(gè)例子中，他首先給當(dāng)?shù)氐闹菥炀蛛娪嵤掖螂娫?#xff0c;針對(duì)手冊(cè)上的一個(gè)代碼，提出問(wèn)題。比如，犯罪代碼。他可能這樣說(shuō)，“我在NCIC做犯罪記錄查詢時(shí)，碰到‘系統(tǒng)發(fā)生問(wèn)題’的錯(cuò)誤提示。你做記錄查詢時(shí)碰到過(guò)這種情況么？能幫我試一下么？”或者他會(huì)說(shuō)正在查詢WPF（警方用語(yǔ)，被通輯人的檔案）。電話另一端，電訊室的工作人員就會(huì)意識(shí)到對(duì)方熟悉查詢 NCIC數(shù)據(jù)庫(kù)的操作程序和命令，除了受過(guò)訓(xùn)練的人，誰(shuí)會(huì)知道這些操作程序呢？

工作人員確定她的系統(tǒng)運(yùn)行正常后，談話可能像這樣進(jìn)行：

“我可以幫點(diǎn)兒忙。你要查什么？”
“我要查瑞爾頓.馬丁的犯罪記錄，出生日期66年10月18日?！?br />“索什（SOSH，執(zhí)行部門(mén)的人有時(shí)把社會(huì)保險(xiǎn)號(hào)簡(jiǎn)稱為索什）是多少？”
“700-14-7435?！?br />找到名單后，她可能這樣說(shuō)：“他的犯罪記錄代碼是2602。”

現(xiàn)在，攻擊者只需到NCIC的網(wǎng)站上查一下這個(gè)號(hào)碼的含義了――這個(gè)人有一樁詐騙的犯罪記錄。

過(guò)程分析

一個(gè)出色的社會(huì)工程師一刻也不會(huì)停止思考闖入NCIC數(shù)據(jù)庫(kù)的辦法，往當(dāng)?shù)鼐炀执蛏弦粋€(gè)電話，花言巧語(yǔ)一番讓對(duì)方認(rèn)為自己是內(nèi)部人員，這就足以能夠得到他所需的信息。下一次，他只需使用相同的借口往另一個(gè)警察局打電話就是了。為什么獲得信息如此容易？

專業(yè)術(shù)語(yǔ)

索什：執(zhí)法部門(mén)對(duì)社會(huì)保險(xiǎn)號(hào)的簡(jiǎn)稱。

你可能覺(jué)得奇怪，往州、縣警察局，或是高速公路巡警處打電話不危險(xiǎn)么？攻擊者豈不是冒著很大的風(fēng)險(xiǎn)？

答案是“不”。由于某種原因，執(zhí)法部門(mén)的人（比如軍事部門(mén)），自從步入這個(gè)圈子的那一天起，就牢牢地記住對(duì)等級(jí)的尊重。社會(huì)工程師只要裝扮成一名中士或中尉（比對(duì)方級(jí)別要高），對(duì)方就會(huì)被那句根深蒂固的訓(xùn)誡所支配――不要向職位、權(quán)力比你高的人提問(wèn)。換句話來(lái)說(shuō)，級(jí)別，享有特權(quán)，尤其是級(jí)別低的人不能對(duì)級(jí)別高的人提出置疑的特權(quán)。不要認(rèn)為只有執(zhí)法部門(mén)和軍事部門(mén)才會(huì)看重級(jí)別的高低，社會(huì)工程師經(jīng)常把企業(yè)中的等級(jí)特權(quán)做為他們對(duì)業(yè)務(wù)信息的攻擊武器，一如本書(shū)中的故事中所做的示范。

預(yù)防措施

你的機(jī)構(gòu)能采取哪些措施以降低社會(huì)工程師利用雇員相信他人的習(xí)慣來(lái)實(shí)施攻擊的可能？下面提供一些建議：

保護(hù)你的客戶

在當(dāng)今的電子時(shí)代，許多銷售公司都會(huì)把客戶的信用卡信息存檔。這是由于，在客戶去商店或網(wǎng)站購(gòu)物時(shí)，它省去了客戶每次都要填寫(xiě)信用卡信息的麻煩。然而，這種習(xí)慣應(yīng)該去除。如果你必須將信用卡號(hào)存檔，則應(yīng)采取加密或訪問(wèn)控制等相應(yīng)的安全措施，工作人員需要培訓(xùn)以認(rèn)清類似于本章中描述的社會(huì)工程師的詭計(jì)。只是通過(guò)電話但從未見(jiàn)過(guò)面的同事，可能不是她或他聲稱的那個(gè)人，他也許沒(méi)有訪問(wèn)客戶信息的知情權(quán)，因?yàn)?#xff0c;他可能根本就不在這個(gè)公司工作。

米特尼克信箱

人人都應(yīng)了解社會(huì)工程師的慣用手段：盡可能的收集目標(biāo)的所有信息，并利用這些信息獲取信任，讓對(duì)方認(rèn)為自已是內(nèi)部人員，然后便深入腹地。

有節(jié)制的給予信任

并不是只有那些有權(quán)訪問(wèn)到敏感信息的人，軟件工程師、發(fā)展研究部門(mén)的人等等，需要得到防入侵的安全培訓(xùn)，幾乎公司里的所有人員都需要安全培訓(xùn)以保護(hù)企業(yè)，防范商業(yè)間諜和信息竊賊。實(shí)施這項(xiàng)基礎(chǔ)工作首先要在企業(yè)范圍內(nèi)做一項(xiàng)信息資產(chǎn)的調(diào)查，單獨(dú)地審視每一項(xiàng)關(guān)鍵、敏感，或是有價(jià)值的信息資產(chǎn)，并提出問(wèn)題，攻擊者可能會(huì)使用什么樣的社會(huì)工程手段來(lái)危及這些資產(chǎn)的安全。圍繞這些問(wèn)題，為有權(quán)訪問(wèn)信息資產(chǎn)的人制定出恰當(dāng)?shù)呐嘤?xùn)方案。任何沒(méi)有見(jiàn)過(guò)面的人找你詢問(wèn)某些信息和資料，或是讓你操作一下你的計(jì)算機(jī)時(shí)，每一個(gè)員工都應(yīng)該問(wèn)自己：如果我把這些信息透露給最壞的敵人，我或我的公司會(huì)因此而受到傷害么？我的確完全知道對(duì)方要求我做的計(jì)算機(jī)操作存在的潛在影響么？

我們并不想懷疑我們遇到的每一個(gè)陌生人，在懷疑中渡過(guò)人生。然而，我們?cè)饺菀紫嘈潘?#xff0c;我們就越容易被欺騙，從而把公司的私有信息泄露給下一個(gè)社會(huì)工程師。

內(nèi)部網(wǎng)上有什么？

企業(yè)的內(nèi)網(wǎng)也許有些內(nèi)容會(huì)對(duì)外開(kāi)放，剩下的只開(kāi)放給員工。那你的公司是否確保了敏感信息不被放到不該放的地方？你的機(jī)構(gòu)對(duì)內(nèi)網(wǎng)上的敏感信息是否被放到網(wǎng)站公眾訪問(wèn)區(qū)的最后一次檢查是在什么時(shí)候？如果你的公司使用了代理服務(wù)器來(lái)增加企業(yè)的網(wǎng)絡(luò)安全性，最近有沒(méi)有進(jìn)行檢查以確保這些服務(wù)器做到正確的配置？

實(shí)際上，有人檢查過(guò)你的內(nèi)網(wǎng)安全性么？
當(dāng)我們遇到頭痛的事情時(shí)，如果有個(gè)經(jīng)驗(yàn)豐富、技術(shù)高超的人來(lái)幫忙，我們一定會(huì)很感激。社會(huì)工程師了解這一點(diǎn)，并懂得如何利用它。他還知道如何制造一個(gè)麻煩，然后幫你解決以獲得你的感激，最后利用你的感激之情來(lái)獲取信息或得到你的一些小關(guān)照，這將把你的公司或是你個(gè)人置于不利的地步，而你可能永遠(yuǎn)不知道你已經(jīng)遭受損失。下面是一些社會(huì)工程師“幫忙”的典型方法。

網(wǎng)絡(luò)故障

日期/時(shí)間：2月12日星期一，15:25
地點(diǎn)：斯達(dá)伯德（Starboard）造船廠辦公室

第一個(gè)電話：湯姆.狄雷（Tom Delay）

“簿記處，湯姆.狄雷?！?br />“嗨，湯姆，我是服務(wù)中心的艾迪.馬丁（Eddie Martin）。我們正在檢修計(jì)算機(jī)網(wǎng)絡(luò)，你們部門(mén)有人在線時(shí)遇到問(wèn)題了么？”
“嗯，據(jù)我所知沒(méi)有人?！?br />“你這兒也沒(méi)什么麻煩吧？”
“沒(méi)有，還算正常?！?br />“好的，很好。是這樣，我們正在給可能發(fā)生網(wǎng)絡(luò)問(wèn)題的人打電話，如果你的網(wǎng)絡(luò)連接中斷請(qǐng)立即告訴我們，這很重要?！?br />“聽(tīng)起來(lái)可不妙，你覺(jué)得它可能出問(wèn)題么？”
“我們希望不會(huì)，但一旦有情況，請(qǐng)打電話好么？”
“這你放心?！?br />“是這樣，如果你們的網(wǎng)絡(luò)連接掉線，很可能是你這兒的問(wèn)題……”
“那可沒(méi)準(zhǔn)兒?！?br />“所以我們會(huì)檢修你這里的網(wǎng)絡(luò)，我把我的手機(jī)號(hào)留給你，如果有需要你可以直接找到我?！?br />“太好了，請(qǐng)說(shuō)?！?br />“555 867 5309?！?br />“555 867 5309，好了，謝謝。你叫什么來(lái)著？”
“艾迪。聽(tīng)著，還有一件事。我需要檢測(cè)一下你的計(jì)算機(jī)連接端口，看一下你的計(jì)算機(jī)哪里貼著一個(gè)大概寫(xiě)著“端口號(hào)”字樣的標(biāo)簽？”
“稍等，沒(méi)有，我看不到有這樣的東西?！?br />“好吧，這樣，你再看計(jì)算機(jī)的后面，能找到網(wǎng)線么？”
“是的?！?br />“順著線找到它的插頭，看看它的插口上是否有一個(gè)標(biāo)簽?！?br />“稍等一下，再等等，我必須蹲下離近些才能看清楚。好的，上面寫(xiě)著6杠47（6-47）?！?br />“很好，那就是我們記錄的端口號(hào)，只是為了確認(rèn)一下。”

第二個(gè)電話：技術(shù)支持

兩天后，一個(gè)電話打到該廠的網(wǎng)絡(luò)管理中心。

“嗨，我是鮑勃（Bob），我現(xiàn)在簿記處湯姆.狄雷的辦公室。我們正在檢修網(wǎng)線故障，請(qǐng)你封掉6-47的端口?！?br />
技術(shù)支持人員回答說(shuō)很快就封掉，并說(shuō)可以恢復(fù)的時(shí)候再通知他們。

第三個(gè)電話：敵人的幫助

一個(gè)小時(shí)后，一位自稱艾迪.馬丁的人在Circuit City購(gòu)物時(shí)，他的手機(jī)響了。他發(fā)現(xiàn)是造船廠的號(hào)碼，便迅速地轉(zhuǎn)到一個(gè)安靜的角落接聽(tīng)手機(jī)。

“服務(wù)中心，艾迪?！?br />“哦，嗨，艾迪。有事找你，你在哪兒？”
“我么，嗯，我在機(jī)房，你是？”
“我是湯姆.狄雷?；镉?jì)，很高興能找到你。或許你還記得前兩天給我打過(guò)電話吧？我的網(wǎng)絡(luò)連接可能像你說(shuō)的那樣斷掉了，我有點(diǎn)不知道怎么辦?！?br />“是的，剛剛好幾個(gè)人都說(shuō)掉線了，我們?cè)诮裉焱砩蠒?huì)處理此事，好么？”
“不！見(jiàn)鬼！如果斷線那么長(zhǎng)時(shí)間，就要耽誤事了。能盡量幫幫我么？”
“事情很緊？”
“我有事得趕緊弄，有沒(méi)有可能在半個(gè)小時(shí)之內(nèi)處理好？”
“半個(gè)小時(shí)？你也太著急了。嗯，這樣，我放下手里的活，看看能不能幫你解決?！?br />“嗨，艾迪，真是謝謝你了?！?br />
第四個(gè)電話：搞定

45分鐘后……

“湯姆？我是艾迪，去看看你的網(wǎng)絡(luò)連接。”
不一會(huì)兒：
“噢，好了，它好了，太棒了！”
“很好，很高興為你解決了。”
“是啊，十分感謝！”
“聽(tīng)著，如果你不想讓它再出毛病，要安裝一個(gè)軟件，幾分鐘就可以了?！?br />“可現(xiàn)在不太合適?！?br />“我理解，但如果下次網(wǎng)絡(luò)連接再出毛病，這會(huì)讓我們都省心的。”
“好吧，如果只需幾分鐘的話。”
“你照這樣做……”

艾迪指導(dǎo)湯姆從一個(gè)網(wǎng)站下載一個(gè)小程序，下完之后，艾迪叫湯姆雙擊它。湯姆照做，但反饋說(shuō)：“不行，什么反應(yīng)都沒(méi)有?！?br />“噢，真討厭。程序一定有什么地方出錯(cuò)了，算了吧，我們可以下次再試?！苯又笇?dǎo)湯姆刪除掉程序，以使其不能恢復(fù)。

整個(gè)過(guò)程花費(fèi)時(shí)間，十二分鐘

攻擊者的故事

每當(dāng)鮑比.華萊士（Bobby Wallace）接到這樣的一項(xiàng)任務(wù)時(shí)總覺(jué)得很可笑，他的客戶總是在為什么需要這種信息的問(wèn)題上閃爍其詞。這件案例中，他只想到兩個(gè)原因：也許他們代表某個(gè)意圖收購(gòu)斯達(dá)伯德造船廠的組織，因而想知道造船廠真正的財(cái)務(wù)現(xiàn)狀，尤其是被收購(gòu)方想對(duì)潛在購(gòu)買(mǎi)者刻意隱瞞的東西?；蛘?#xff0c;他們代表投資方，認(rèn)為他們的資金在使用上有些可疑，并想知道是否有些管理人員私自開(kāi)設(shè)了小金庫(kù)。

也許他的客戶并不想讓他知道真正的原因，因?yàn)槿绻U比知道了那些信息的價(jià)值，他可能會(huì)索要更多的酬金。

有許多破解企業(yè)最機(jī)密文檔的方法，鮑比在制定計(jì)劃前花了幾天時(shí)間做選擇并進(jìn)行了小小的測(cè)試。他決定使用一個(gè)稱為“接近”的他尤其喜歡的方法，讓對(duì)方自己落入圈套，他會(huì)自動(dòng)請(qǐng)求攻擊者的幫助。

首先，鮑比花39.95美元在便利店買(mǎi)了一部手機(jī)，然后打電話給那個(gè)他選做目標(biāo)的人，冒充公司服務(wù)中心的人哄騙對(duì)方在網(wǎng)絡(luò)連接出問(wèn)題時(shí)給他打電話。為了使事情看上去不那么明顯，他故意等了兩天才給網(wǎng)絡(luò)管理中心（NOC）打電話。他聲稱在為湯姆（他的目標(biāo)）檢修網(wǎng)絡(luò)問(wèn)題，并要求NOC把網(wǎng)絡(luò)連接禁止掉，鮑比知道這是整個(gè)計(jì)劃中最棘手的部分。在許多企業(yè)，服務(wù)中心與NOC有著緊密的工作關(guān)系，實(shí)際上他知道服務(wù)中心通常就是IT部門(mén)的一個(gè)分部。但NOC接電話的人懶得問(wèn)那個(gè)解決網(wǎng)絡(luò)問(wèn)題的服務(wù)中心人的名字，并同意禁止掉對(duì)方要求的網(wǎng)絡(luò)端口。這一切搞定之后，湯姆就被完全的從企業(yè)內(nèi)網(wǎng)上隔離了，不能從服務(wù)器上檢索文件，也不能與同事交換文件、下載郵件，或甚至不能把數(shù)據(jù)傳到打印機(jī)。在當(dāng)今的世界，這如同居住在一個(gè)洞穴中。

正如鮑比所預(yù)想的，他的手機(jī)很快就響了。當(dāng)然，他盡量使自己聽(tīng)上去十分愿意幫助這個(gè)不幸的同事，然后給NOC接電話把網(wǎng)絡(luò)連接恢復(fù)。最后，他打給湯姆再次控制了他，這一次由于幫他解決了問(wèn)題，令對(duì)方心存感激，于是湯姆同意下載一個(gè)軟件到他的計(jì)算機(jī)上。當(dāng)然，他同意下載的軟件并不是鮑比所說(shuō)的那樣，是為了防止網(wǎng)絡(luò)連接的再次中斷，它實(shí)際上是一個(gè)特洛伊木馬，一個(gè)用來(lái)對(duì)付湯姆的計(jì)算機(jī)的應(yīng)用程序（特洛伊是一種原始的把敵人帶到對(duì)方內(nèi)部的欺騙方法）。湯姆回復(fù)說(shuō)雙擊程序后沒(méi)有任何反應(yīng)，這是故意讓他看不到發(fā)生任何事情的，實(shí)際上這個(gè)小巧的應(yīng)用程序正在安裝一個(gè)允許滲透者悄悄訪問(wèn)湯姆計(jì)算機(jī)的秘密軟件。利用這個(gè)軟件，鮑比可以完全的控制湯姆的計(jì)算機(jī)，這稱為遠(yuǎn)程命令行解釋器。當(dāng)鮑比訪問(wèn)湯姆的計(jì)算機(jī)時(shí)，他可以查找他感興趣的財(cái)務(wù)文件并拷貝下來(lái)，然后，在方便時(shí)檢查它們是否包含他的客戶尋求的信息。

專業(yè)術(shù)語(yǔ)

特洛伊木馬：一種包含惡意或會(huì)造成危害的代碼，用來(lái)?yè)p壞受害者的計(jì)算機(jī)或文件，或是從受害者的計(jì)算機(jī)和網(wǎng)絡(luò)上獲取信息。某些特洛伊木馬會(huì)隱藏在操作系統(tǒng)中暗中監(jiān)視擊鍵或操作，或者通過(guò)網(wǎng)絡(luò)連接來(lái)執(zhí)行一些入侵命令，而這一切是在受害者意識(shí)不到的情況下進(jìn)行的。這還不是全部，入侵者還可以在任何時(shí)候回到這臺(tái)計(jì)算機(jī)上搜索電子郵件和私人備忘錄，并對(duì)可能揭示出敏感信息的詞進(jìn)行文本查找。

在哄騙目標(biāo)安裝了特洛伊木馬程序的當(dāng)晚，鮑比就把手機(jī)扔到了垃圾桶里。當(dāng)然，在扔之前他首先小心的刪除了通話記錄并拔出了電池。這是他最后要做的事情，讓人再也撥不通這個(gè)電話號(hào)碼。

過(guò)程分析

攻擊者設(shè)計(jì)一個(gè)圈套來(lái)使對(duì)方認(rèn)為自己的計(jì)算機(jī)存在問(wèn)題，實(shí)際上，根本沒(méi)有。或者，問(wèn)題還未發(fā)生，但攻擊者知道它會(huì)的，因?yàn)樗麑⑹怪l(fā)生，然后他再假扮解決問(wèn)題的人。這次攻擊中的程序安裝對(duì)于攻擊者來(lái)說(shuō)更是獎(jiǎng)賞，他事先埋下了伏筆，當(dāng)目標(biāo)發(fā)現(xiàn)問(wèn)題時(shí)，會(huì)自動(dòng)打電話懇求幫助。攻擊者只需坐在那兒等電話響就是了，可以把這次攻擊看做是一次反向的社會(huì)工程學(xué)――攻擊者迅速獲得了信任，從而使目標(biāo)主動(dòng)打電話給他。如果你打電話給某個(gè)你認(rèn)為是服務(wù)中心的人，你會(huì)要求對(duì)方證明自己的身份嗎？這就是攻擊者想制造的效果。
　　
專業(yè)術(shù)語(yǔ)

遠(yuǎn)程命令行解釋器：接受文本命令來(lái)執(zhí)行某種功能或運(yùn)行程序的非圖形操作界面。通過(guò)利用漏洞或在目標(biāo)計(jì)算機(jī)上安裝木馬，攻擊者可以獲得對(duì)命令行解釋器的遠(yuǎn)程訪問(wèn)權(quán)。

反向社會(huì)工程學(xué)：攻擊者設(shè)計(jì)的一種情形，受騙者碰到問(wèn)題時(shí)會(huì)聯(lián)系攻擊者求助。另一種反向社會(huì)工程學(xué)是對(duì)付攻擊者的，被攻擊目標(biāo)發(fā)現(xiàn)了對(duì)方是攻擊者后，利用心理影響盡可能的從攻擊者身上套出信息以保護(hù)企業(yè)的信息資產(chǎn)。

米特尼克信箱

如果某個(gè)陌生人幫了你的忙，然后要你幫他，不要不經(jīng)過(guò)慎重考慮就回報(bào)他的幫助，要看對(duì)方要你做的是什么。在類似上面的這個(gè)騙局中，社會(huì)工程師找了一個(gè)計(jì)算機(jī)知識(shí)很少的人。他知道的越多，就越可能產(chǎn)生懷疑，或越能斷定是被騙了。計(jì)算機(jī)白癡――對(duì)計(jì)算機(jī)操作和知識(shí)了解很少的人，則很容易遵從你的指示。他太容易掉入“只需下一個(gè)小程序”這樣的陷井了，因?yàn)樗麑?duì)一個(gè)軟件程序可能造成的損害一無(wú)所知。而且，他很可能不知道他冒著風(fēng)險(xiǎn)放到網(wǎng)絡(luò)上的信息的價(jià)值。

總結(jié)

以上是生活随笔為你收集整理的The Art of Deception的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。