欺骗的艺术-第9章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
椒ǎＬ滥坊馗此邓鞒绦蚝竺挥腥魏畏从Γ馐枪室馊盟床坏椒⑸魏问虑榈模导噬险飧鲂∏傻挠τ贸绦蛘诎沧耙桓鲈市砩刚咔那姆梦侍滥芳扑慊拿孛苋砑＠谜飧鋈砑瓤梢酝耆目刂铺滥返募扑慊獬莆冻堂钚薪馐推鳌５北确梦侍滥返募扑慊保梢圆檎宜行巳さ牟莆裎募⒖奖聪吕矗缓螅诜奖闶奔觳樗鞘欠癜目突а扒蟮男畔ⅰ�
专业术语
特洛伊木马：一种包含恶意或会造成危害的代码，用来损坏受害者的计算机或文件，或是从受害者的计算机和网络上获取信息。某些特洛伊木马会隐藏在操作系统中暗中监视击键或操作，或者通过网络连接来执行一些入侵命令，而这一切是在受害者意识不到的情况下进行的。这还不是全部，入侵者还可以在任何时候回到这台计算机上搜索电子邮件和私人备忘录，并对可能揭示出敏感信息的词进行文本查找。
在哄骗目标安装了特洛伊木马程序的当晚，鲍比就把手机扔到了垃圾桶里。当然，在扔之前他首先小心的删除了通话记录并拔出了电池。这是他最后要做的事情，让人再也拨不通这个电话号码。
过程分析
攻击者设计一个圈套来使对方认为自己的计算机存在问题，实际上，根本没有。或者，问题还未发生，但攻击者知道它会的，因为他将使之发生，然后他再假扮解决问题的人。这次攻击中的程序安装对于攻击者来说更是奖赏，他事先埋下了伏笔，当目标发现问题时，会自动打电话恳求帮助。攻击者只需坐在那儿等电话响就是了，可以把这次攻击看做是一次反向的社会工程学——攻击者迅速获得了信任，从而使目标主动打电话给他。如果你打电话给某个你认为是服务中心的人，你会要求对方证明自己的身份吗？这就是攻击者想制造的效果。
专业术语
远程命令行解释器：接受文本命令来执行某种功能或运行程序的非图形操作界面。通过利用漏洞或在目标计算机上安装木马，攻击者可以获得对命令行解释器的远程访问权。
反向社会工程学：攻击者设计的一种情形，受骗者碰到问题时会联系攻击者求助。另一种反向社会工程学是对付攻击者的，被攻击目标发现了对方是攻击者后，利用心理影响尽可能的从攻击者身上套出信息以保护企业的信息资产。
米特尼克信箱
如果某个陌生人帮了你的忙，然后要你帮他，不要不经过慎重考虑就回报他的帮助，要看对方要你做的是什么。在类似上面的这个骗局中，社会工程师找了一个计算机知识很少的人。他知道的越多，就越可能产生怀疑，或越能断定是被骗了。计算机白痴——对计算机操作和知识了解很少的人，则很容易遵从你的指示。他太容易掉入“只需下一个小程序”这样的陷井了，因为他对一个软件程序可能造成的损害一无所知。而且，他很可能不知道他冒着风险放到网络上的信息的价值。
给新来的女孩帮个小忙
攻击者喜欢把目标锁定在新来的雇员身上，他们认识的人很少，也不了解工作程序，什么该做，什么不该做。而且，一旦给其留下良好的第一印象，他们便会殷切地显示出对你的配合和快速地回应。
安德鲁的帮助
“人力资源部，安德鲁o卡尔霍恩（Andrea Calhoun）。”
“安德鲁，嗨，我是亚力克斯（Alex），企业安全顾问。”
“什么事？”
“今天好么？”
“还好。需要帮忙吗？”
“是这样，我们正在策划一个新员工的安全培训，需要集结一些人测试一下，我想要上个月所有新进员工的名单和电话号码。你能提供给我么？”
“要到今天下午我才能给你，可以么？你的分机是多少？”
“当然，可以。我的分机是52……，噢，嗯，我今天大部分时间要开会，我回到办公室后打给你吧，大约4点左右。”
亚力克斯4点30分打来电话，安德鲁已经把名单准备好，然后在电话中读出了名字和分机号。
罗丝玛丽的消息
罗丝玛丽o摩根（Rosemary Morgan）很满意她的新工作，以前她从未在杂志社做过，她发现这里的人比她想像中友善的多（大多数杂志社职员都是在没完没了的压力下，在每一次发行最后期限前出版杂志的），而星期二早晨的一个电话再次确认了她的这种印象。
“是罗丝玛丽o摩根吗？”
“是的。”
“嗨，罗丝玛丽，我是比尔o乔迪（Bill Jorday），信息安全部的。”
“有事吗？”
“我们部有人跟你谈过最佳安全操作规程么？”
“我想没有。”
“那好，我们开始。首先，我们不允许任何人安装从公司外部带来的软件，因为我们不想承担使用未经授权软件的责任。而且，也为了避免这些软件可能携带蠕虫或病毒的风险。”
“好的。”
“你了解我们的电子邮箱规则么？”
“不。”
“你现在的电子邮箱是什么？”
“Rosemary@shubao2。com”
“你是用Rosemary做用户名登录的么？”
“不是，我用的是R_Morgan。”
“好的。我们想让所有的新员工都意识到，打开任何一个未知邮件的附件都是危险的。蠕虫、病毒四处泛滥，并通过你似乎认识的人的邮件发来。所以，如果你收到一封意料之外的带有附件的邮件，一定要向发信方确认此信真得是由其发出。你懂了么？”
“是的，这我已经知道了。”
“很好。我们的规定是每90天换一次密码。你上一次改变密码是什么时候？”
“我才来了三个星期，还用着一开始设置的密码。”
“好，很好，你可以等到90天后再换。但我们需要确定大家不使用很容易猜出的密码，你使用的密码是由字母和数字组成的么？”
“不是。”
“我们要确定一下，你现在用的密码是什么？”
“我女儿的名字——Annette（安妮特）。”
“那可真不是一个安全的密码，你不应该在密码里包含家庭信息。嗯，我看看……，你可以和我一样，使用你现在的密码做为新密码的开头，每当更换时加一个当前月份的数字。”
“那如果我现在换的话，现在是三月，就应该是three或是…three？”
“那随你便，你更愿意用哪一个？”
“我想用Annette…three。”
“好的。你想让我为你演示一下如何改密码的么？”
“不用，我知道。”
“好。还有一件事得说一下，你的计算机上装有防病毒软件，保持更新非常重要。千万不要禁止自动更新功能，即便在它每次运行时速度会变慢。好么？”
“好的。”
“很好。你有我们的电话号码么？如果计算机出问题可以打给我们。”
她没有。他告诉她号码，她认真的记了下来，然后继续工作，并再一次地为受到热心的关怀感到欣慰。
过程分析
这个故事继续加强了此书的基本主题，你也将看到在整本书中都包含着这一主题：尽管社会工程师的最终目标不是从对方身上获取最普通的信息，但这些信息却是其目标的信任书。利用企业关健岗位上的员工那里得来的某个账号和密码，攻击者可以成功打入内部并找到任何他想找的信息。有了这些信息，如同找到开门的钥匙，把它们握在手中，他可以自由地出入企业的各个地方并找到他寻觅的宝藏。
米特尼克信箱
在企业的新员工可以访问任何计算机系统之前，必须进行培训以遵从良好的安全操作规程，尤其是有关绝不要泄露口令的规则。
不象你认为的那样安全
“在保护敏感信息上所做欠妥的企业仅仅是因为粗心大意。”许多人都会同意这个说法。而生活如果简单易懂的话，这个世界就会更好。事实却是即便企业付出相当的努力来保护机密信息，可还是存在着严重的风险。下面的故事再一次举例证明，认为由经验丰富、胜任的职业安全人员布置的安全操作规程牢不可破的想法，只是在愚弄自己。
斯蒂夫o克莱默（Steve Cramer）的故事
这片草地不大，没有播撒昂贵的草种，也没人羡慕。当然，也就没有足够的理由买一台坐式割草机了，那一定很好使，毕竟他一次也没用过。斯蒂夫很乐意用手工割草机割草，因为花的时间会更长些，而这种家务事还给他提供了一个便利，使自己专注于自己的想法，而不是听安娜（Anna）讲述她工作的银行里那些人的故事或是解释为他所做的各种事情，他讨厌“夫妻表”（译者注：夫妻间为增进感情而做的一些小事，如聊天、下厨等）上的内容成为他周末的全部。当12岁的皮特绝顶聪明地加入游泳队的时候，他的心里一下子亮堂起来。现在，他每个星期六都要在训练场或是去接他，不用再陷入没完没了的家务事上了。
有些人可能认为斯蒂夫在双星医疗产品厂（GeminiMed Medical Product）的工作十分无聊，斯蒂夫却认为他在挽救生命，他知道自己从事的是具有创造性的工作。画家、音乐家、工程师，在斯蒂夫看来都有着与他相同的挑战性——他们都创造别人从未做过的东西。他最近所做的，是一件新型的智能心脏支架，迄今为止，可能是他最值得骄傲的成就。
在这个不寻常的周六，斯蒂夫十分苦恼，都快11点半了，草地也几乎清理完，但是在思考如何降低心脏支架的动力消耗方面却没有丝毫的进展。这是他最后的障碍，虽然锄草时最适合思考这样的问题，但他一点办法也没想出来。
安娜来到门口，头上围着打扫卫生时总戴着的佩斯利（paisley）牛仔头巾。“电话，”她冲着他喊。“你公司的电话。”
“是谁？”斯蒂夫回喊道。
“叫什么拉尔夫（Ralph）的，好像。”
拉尔夫？斯蒂夫想不起医疗厂有叫拉尔夫的人会在周末打电话给他，也许安娜把名字听错了吧。
“斯蒂夫，我是技术支持部的雷蒙o派瑞兹（Ramon Perez）。”
雷蒙？天知道安娜怎么会听成一个西班牙人的名字拉尔夫？斯蒂夫很奇怪。
“这是一个善意的来电，”雷蒙接着说。“有三台服务器当掉了，我们认为可能是蠕虫，必须清除驱动器，然后恢复备份文件。我们应该能够在星期三或星期四令你的文件正常使用，如果幸运的话。”
“这真让人无法接受，”斯蒂夫尽量平静的说，努力压制住自己的沮丧。这些人怎么如此愚蠢？他们真的认为他没有这些文件也可以在整个周末和下个星期的多半个星期工作么？“不行，我要用家里的电脑连线，只需两个小时，我要访问我的文件。你听明白我的意思了吗？”
“清楚，到现在为止我打的每一个电话，对方都要求先处理他们的事情。我放弃我的周末来弄这件事，却让每个我与之通话的人对我指手画脚，你觉得这很好笑么？”
“我现在的工作处于关健时期，公司对此十分重视，我今天下午要完成它，你还有什么不明白的？”
“在我开始恢复前还有很多电话要打，”雷蒙说。“我们说定星期二恢复你文件的使用，怎么样？”
“星期二不行，星期一也不行，要今天，现在！”斯蒂夫边说边考虑如果说不通这个大脑迟钝的家伙，他该向谁打电话。
“好吧，好吧，”雷蒙说，斯蒂夫还能听到他无奈的叹了口气。“我看看我该怎么让你连线，你使用RM22服务器，对么？”
“RM22和GM16两台。”
“好，很好，我可以绕过一些程序来节省些时间——我需要你的用户名和口令。”
什么？斯蒂夫想，这是怎么了？为什么他需要我的口令？为什么所有IT部门的人都这样？
“你刚才说你姓什么？谁是你的主管？”
“雷蒙o派瑞兹。听着，听我说，当你被雇用的时候，必须填一个表格来取得自己的用户名，同时写下密码。我可以在存档中找到这个文件，然后告诉你，好么？”
斯蒂夫考虑了一会儿，表示同意。他拿着电话尽量耐心的等着雷蒙从文件柜中取出文件，最终返回到电话前，斯蒂夫可以听到他在摆弄一堆文件。
“哈，找到了，”雷蒙说，“你写的密码是Janice。”
Janice，斯蒂夫想，是他母亲的名字，实际上有时他会用这个名字做密码，很可能在他填雇用登记表时就用它做密码了。
“是的，是这样。”他承认道。
“那好，我们正在浪费时间。你知道我是真的，你想让我走捷径帮你快速的取回文件，你就
