34、网络安全攻防：社会工程学攻击与网站应用安全解析

网络安全攻防：社会工程学攻击与网站应用安全解析

1. 社会工程学攻击类型

社会工程学攻击是黑客获取敏感信息的重要手段，常见类型如下：

1.1 网络钓鱼短信攻击

攻击者向随机用户发送短信，伪装成银行代表，短信中包含与正规银行域名极为相似的 URL。用户若点击该恶意链接，就会进入虚假登录门户，导致用户名、密码被盗取，甚至手机会被下载恶意程序。

1.2 语音钓鱼攻击（Vishing）

这种攻击通过传统电话或 VoIP 系统进行。攻击者伪装成可信机构（如当地有线电视公司或银行）致电目标，要求其透露敏感信息，如出生日期、驾照号码、银行信息和账户凭证等。若首次尝试失败，攻击者可能再次致电，伪装成更重要的人物或技术支持人员继续行骗。当受害者未上当，攻击者还会以“不提供信息将禁用账户”等话术施压。

1.3 社交网络攻击

• 创建虚假社交档案 ：攻击者创建虚假社交资料与目标建立联系，通过伪装身份诱骗目标透露敏感信息。
• 利用被盗账户 ：攻击者获取用户社交账户控制权后，利用该账户与受害者的好友或联系人交流，构建庞大关系网以收集他人信息。
• 引诱组织员工 ：攻击者常用方法包括创建虚假用户组、冒用目标组织员工姓名、诱导用户加入虚假用户组并索要敏感信息。
• 人肉搜索攻击（Doxing） ：攻击者利用目标在社交网站上的帖子收集个人信息。很多人在社交网站上发布大量个人、家庭和工作信息，却未意识到