6、社会工程学攻击手法揭秘

社会工程学攻击手法揭秘

1. 企业流程漏洞带来的安全隐患

在企业运营中，流程是至关重要的一部分，它被定义为“按特定顺序或方式进行的一系列行动”，能确保业务任务按照企业期望的方式一致执行。然而，若企业流程存在薄弱环节，人员就容易遭受攻击。这里所说的“薄弱”，指的是攻击者能够以某种方式绕过或规避该流程。

以承包商签到流程为例：
1. 承包商到达前台并自我介绍后，需在签到簿的相应部分填写日期、姓名、公司、拜访对象、通行证号码和车牌号（如有需要）。
2. 前台为承包商发放特定的射频识别（RFID）通行证。
3. 联系“拜访对象”，告知其承包商已到达。
4. 邀请承包商在指定区域就座等候。

这个流程看似合理，大多数企业也采用类似的做法，但从社会工程师的角度来看，它存在被滥用的可能：
- 信息获取 ：承包商填写签到簿时，可能会看到之前访客的信息。若之前有来自“易受攻击工程师公司”拜访“IT 部门”的访客，社会工程师可能会推断其为第三方支持技术人员。通过观察访客的穿着、携带的工具，甚至与其交谈，社会工程师能获取更多信息，为可能的伪装攻击提供帮助。若侦察到管理层人员的姓名，且签到表显示有人拜访该人员，社会工程师可借此联系该经理，声称是拜访者的同事，从而获取信任。此外，社会工程师还可填写虚假信息，提供一个不存在的联系人，当接待员告知时，只需声称失误并道歉离开，不会引起怀疑。
- 通行证问题 ：流程中先发放 RFID 通行证再进行验证，社会工程师有机会仔细观察通行证，甚至可能制作假证用于未来攻击，还可使用专业设备重放 RFID 信号。即便验证失败，他们可能已获取所需