44、社会工程学评估：从密码审计到攻击策略

社会工程学评估：从密码审计到攻击策略

1. 密码安全与审计

在强化安全策略时，实施安全密码策略至关重要。所有核心服务应强制使用长度和复杂度足够的强密码，对于网络上所有主机的服务和管理账户也需如此。然而，实际情况中，一些组织虽为用户设置了复杂的密码策略，但服务账户和网络设备的密码却很弱，这就像 IT 团队对用户和自身采用不同规则，一旦在测试中发现被利用的弱密码来自服务账户或 IT 团队成员，会十分尴尬。

有许多工具可用于检查用户针对各种服务的密码。以 Windows 登录密码为例，可从用户列表开始检查。密码审计工具通常使用词表，这些词表是包含用户密码的文本文件，有很多公开可用的词表，部分词表包含大量生成的密码。也可以使用如 RSMangler（http://www.randomstorm.com/rsmangler - security - tool.php）这样的工具创建自己的词表。RSMangler 会将与客户相关的小词表进行处理，每个单词可生成数千种变体，从而为组织生成特定的词表。

推荐的密码工具之一是 Hydra（http://www.thc.org/thc - hydra/），它有命令行和 GUI 两种形式，可对以下服务进行密码审计：
- Asterisk, AFP, Cisco AAA, Cisco auth, Cisco enable, CVS, Firebird, FTP 等众多服务。

密码审计可用于内部测试，检查用户密码的强度，确保服务账户和网络设备也使用强密码。进行内部密码审计能在外部公司测试或潜在攻击者发现问题之前，找出并修复相关问题。

2. 社会工程学评估的攻击向量

社会工程学评估主要