之什么是社会工程学？定义、类型、攻击技术【黑客渗透测试零基础入门必知必会】

前言

这是龙哥给粉丝盆友们整理的网络安全渗透测试入门阶段社会工程学第1篇。

喜欢的朋友们，记得给龙哥点赞支持和收藏一下，关注我，学习黑客技术。

社会工程学（Social Engineering）是一个结合了社会科学、计算机科学、心理学和经济学等多学科理论和技术的综合性学科。它主要通过理解和改善人类行为和社会过程，来解决社会生活、经济发展和公共安全等领域中的实际问题。以下是对社会工程学的详细阐述：

社会工程学广义上被定义为建立理论并通过利用自然的、社会的和制度上的途径来逐步地解决各种复杂的社会问题。这一学科在上世纪60年代左右作为正式的学科出现，并随着时间的推移逐渐发展出多个分支，如公安社会工程学和网络社会工程学。

社会工程技术和方法的类型

社会工程可以通过多种方式完成：

借口：这涉及虚假地呈现身份或背景，以使目标相信他们应该共享敏感数据或采取妥协行动，这是大多数社会工程中的一个要素。
诱饵：对手通常会提供虚假承诺来欺骗受害者、窃取敏感信息或用恶意软件感染组织。
网络钓鱼：攻击者在没有考虑特定目标的情况下发送大量电子邮件，希望通过单击恶意链接或附件来访问敏感信息。
鱼叉式网络钓鱼：攻击者伪装成已知或可信的发件人，向特定受害者发送有针对性的、通常是个人制作的网络钓鱼消息。
鲸鱼网络钓鱼：这是针对高价值目标的鱼叉式网络钓鱼，例如高级管理人员或关键财务人员。它可能基于攻击者首先收集的有关目标和组织的详细信息，以便提供涉及访问敏感信息或发起财务行动的可信借口。
语音钓鱼或网络钓鱼：这是通过语音呼叫或短信（而不是电子邮件）进行的网络钓鱼尝试。
商业电子邮件泄露 (BEC)：网络犯罪分子入侵商业电子邮件帐户并冒充所有者欺骗商业圈中的某人向攻击者的帐户发送金钱或敏感数据。
网络欺骗：将代码放置在计算机或服务器上，以转移或诱骗用户访问有害网站。
尾随或捎带：恶意行为者通过密切跟踪使用凭证通过安检的员工或其他授权进入者，获得对组织安全设施的物理访问权限。
垃圾箱潜水：顾名思义，这是另一种针对物理位置的攻击，犯罪分子通过这种方式在组织的垃圾中进行筛选，以查找可用于发起攻击的信息。

这些类型的攻击通常会结合或调整以包含新的皱纹：

网络犯罪分子经常假装自己来自受信任的组织，例如目标的能源供应商、银行或 IT 部门。他们使用这些机构的徽标和与官方相似的电子邮件地址。一旦获得信任，他们就会请求登录或帐户详细信息等敏感信息，以渗透网络或窃取资金。
一种常见的方法是虚假场景，并发出警告，如果不尽快采取行动，将会产生一些不良的负面后果，例如帐户永久锁定、罚款或执法部门的访问。通常的目标是让人们点击恶意 URL 链接，将受害者带到虚假的登录页面，在其中输入合法服务的登录凭据。
另一种变体是 BazarCall 活动。它始于一封网络钓鱼电子邮件。但该电子邮件并没有欺骗用户点击恶意链接或附件，而是提示用户拨打电话号码来取消订阅。紧迫感中充满了他们即将被自动指控的威胁。然后，虚假呼叫中心将用户引导至网站下载安装 BazarCall 恶意软件的取消表格。
对于鱼叉式网络钓鱼，攻击者可能会从 LinkedIn、Facebook 和其他平台收集有价值的数据，以显得更加真实。例如，如果目标位于国外，并且已知使用美国运通卡，则电话或电子邮件可能会声称来自美国运通，寻求验证身份以批准用户旅行所在国家/地区的交易。攻击者交出账户信息、信用卡号、密码和安全码，攻击者就会开始网上疯狂购物。
由于捕鲸活动侧重于高价值目标，因此越来越多地使用复杂的技术。如果合并正在进行或大笔政府拨款即将通过，攻击者可能会冒充参与交易的人员，并注入足够的紧迫感，将资金转移到犯罪集团的账户。Deepfake技术可用于让财务员工相信他们的老板或其他权威人物正在要求采取行动。
来自不良行为者的 LinkedIn 请求越来越普遍。骗子诱骗毫无戒心的求职者打开恶意 PDF、视频、二维码和语音邮件。
推送通知垃圾邮件是指威胁行为者通过多重身份验证 (MFA) 应用程序不断轰炸用户以获得批准。用户可能会对收到的大量通知感到恐慌或恼怒，并批准威胁行为者进入网络。
利用当前的危机，社会工程攻击利用了当前的头条新闻或人们对个人财务的恐惧。无论是提供虚假能源账单和退税的短信，还是网上银行诈骗的增加，随着预算紧缩，人们变得更容易受到机会主义不良行为者的剥削。