黑客攻击之社会工程学

对于黑客这个群体，大家最普遍的认知，肯定是电脑高手。他们是一群对于电脑操作极其熟练的人，只需要坐在电脑前，轻轻敲击键盘，便仿佛能操控一切。

固然，电脑黑客确实可怕，他们擅长在网络空间里挖掘信息。你不经意间泄露了一点信息，比如朋友圈里的照片，交友墙上的 QQ 号，你的隐私就可能被他们扒的一点不剩。

然而有时，黑客对你发动攻击，却不一定非要用到电脑。

比如黑客想要黑掉一个摄像头，并不一定需要入侵它的内部系统，也可以像下面这样。

咱就是说，缺点就是容易被抓。。。

再比如，有没有一种可能，盗号其实也没那么难？

前提是你能碰到这种怨种。

上面这两张图其实都是玩笑话，当不得真。不过现实中确实有比电脑黑客还要厉害的黑客，他们被称为——社会工程师。

提到社会工程师，就不得不讲一下今天的主题，社会工程学了。

在这之前先给大家介绍一个人，世界第一黑客——凯文·米特尼克。

凯文·米特尼克（Kevin David Mitnick），1963 年 8 月 6 日出生于美国洛杉矶，第一个被美国联邦调查局通缉的黑客。有评论称他为世界上 “头号电脑黑客” ，其传奇的黑客经历足以令全世界为之震惊。现职业是网络安全咨询师，出版过《欺骗的艺术》、《入侵的艺术》、《线上幽灵：世界头号黑客米特尼克自传》。

以上摘自百度百科，相信大家光看这一段就知道他有多牛逼了。

给大家看看世界第一黑客。

他不但是一名黑客，更是一名出色的社会工程师。

美国电影公司甚至以他为原型改编了一部电影，叫做《骇客追缉令》，强烈推荐大家去看！

而社会工程学正是凯文·米特尼克在《欺骗的艺术》一书中所提出，它是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等的危害手段。

总的来说，就是通过人性的弱点对目标进行欺骗，从而达到自己的目的。

我给大家举几个例子，看完或许大家就明白了。

举个《欺骗的艺术》中的例子。

1978 的一天，瑞夫金无意中来到了美国保险太平洋银行的授权职员准入的电汇交易室，这里每天的转款额达到几十亿美元。瑞夫金当时工作的那家公司恰巧负责开发电汇交易室的数据备份系统，这给了他了解转账程序的机会，包括银行职员拔出账款的步骤。他了解到被授权进行电汇的交易员每天早晨都会收到一个严密保护的密码，用来进行电话转帐交易。

电汇室里的交易员为了记住每天的密码，图省事把密码记到一张纸片上，并把它贴到很容易看得见的地方。11 月的一天，瑞夫金有了一个特殊的理由出入电汇室。到达电汇室后，他做了一些操作过程的记录，装做在确定备份系统的正常工作。借此机会偷看纸片上的密码，并用脑子记了下来，几分钟后走出电汇室。瑞夫金后来回忆道：“感觉就像中了大奖”。

瑞夫金约在下午 3 点离开电汇室，径直走到大厦前厅的付费电话旁，塞入一枚硬币，打给电汇室。此时，他改变身份，装扮成一名银行职员――工作于国际部的麦克·汉森（Mike Hansen）。那次对话大概是这样的：

“喂，我是国际部的麦克·汉森。” 他对接听电话的小姐说，小姐按正常工作程序让他报上办公电话。“286。” 他已有所准备。小姐接着说：“好的，密码是多少？”瑞夫金曾回忆到他那时的 “兴奋异常”。“4789” 他尽量平静地说出密码。接着他让对方从纽约欧文信托公司（Irving Trust Company）贷一千零二十万美元到瑞士苏黎士某银行（Wozchod Handels Bank），他已经建立好的账户上。对方说：“好的，我知道了，现在请告诉我转账号。”

瑞夫金吓出一身冷汗，这个问题事先没有考虑到，他的骗钱方案出现了纰漏。但他尽量保持自己的角色，十分沉稳，并立刻回答对方：“我看一下，马上给你打过来。”这次，他装扮成电汇室的工作人员，打给银行的另一个部门，拿到帐号后打回电话。对方收到后说：“谢谢。”

最终的结果是：

几天后，瑞夫金乘飞机来到瑞士提取了现金，他拿出八百万通过俄罗斯一家代理处购置了一些钻石，然后把钻石封在腰带里通过了海关，飞回美国。瑞夫金成功的实施了历史上最大的银行劫案，他没有使用武器，甚至勿需计算机的协助。奇怪的是，这一事件以 “最大的计算机诈骗案” 为名，收录在吉尼斯世界纪录中。斯坦利·瑞夫金用的就是欺骗的艺术，这种技巧和能力我们现在把它称为——社会工程学。

不得不说，瑞夫金是一位优秀的社会工程师，利用自己的职务之便，成功盗取到银行的密码。接着利用该密码骗取银行工作人员的信任，让对方往自己的账户转账。

让我佩服的还是他高超的演技，以及由于准备不足出现差错后，表现出来的沉稳，这都是一名优秀的社会工程师所不可缺少的。

他没有像其他黑客一样，攻破银行的系统，却成功从银行盗取了巨额钱财。

所以你看，最高端的黑客攻击，往往采用最朴素的攻击方式。

社会工程师比电脑黑客更难防御，纵使你的系统再安全，在社会工程师面前也形同虚设。

书中还有不少类似的例子，推荐大家去看一看《欺骗的艺术》这本书。

还有《骇客追缉令》中有这么一个片段。

凯文密尼克（电影主人公）需要破解密码，由于密码很复杂（56 位加密，37 亿多种可能），凭自己的电脑至少需要一百多年，于是他想到利用某大学里的电脑来帮自己破解。

那么怎么利用呢？

凯文密尼克想的是，冒充当天值班人员。那么现在需要知道当天的值班人员是谁，于是他在垃圾桶一顿翻找，成功找到了值班人员表。

有了名字，接下来就是一套娴熟的社会工程学手段，成功骗过门口的安保人员。

最终成功进入机房，拿下了几万台电脑的控制权，让它们帮自己破解密码。

看到这里，相信大家已经基本了解社会工程学了。

社会工程学攻击，可谓防不胜防，因为它攻击的是安全系统中最薄弱的环节——人。

只要是人，就会有弱点。

不过大家也不必太过担心，对于个人来说，正常情况下，黑客是不会耗费精力去攻击一个普通人的，除非你和他有仇，或者你家有亿点点钱。

但对于企业来说，还是很有必要给员工普及网络安全知识，提高员工安全意识，谨防社会工程学攻击。

还是那句话，你没被黑，不是对方黑不了你，而是你没有被黑的价值。

d6a6bc0db10694a2d90e3a69648f3a03

注：本文仅为科普，请勿从事违法犯罪活动，否则后果自负！