如何 “抢劫”一家银行:记一次社会工程演习活动
作者:星期二, 六月 11, 20190

专业社会工程师吉姆·斯蒂克雷(Jim Stickley) “略施小计”就用实际行动证实企业内部员工确实是网络安全的薄弱环节。下面是吉姆记录的入侵过程。

如果一家公司聘请我们参与针对企业内部员工的社会工程项目,通常来说,他们只希望我们进入他们的备份磁盘,或是访问他们文档室中的数据。

现在,假设我假扮成一名消防检查员。那么除了我的徽章和制服外,我将拥有的第一件物品就是对讲机,就像所有其他消防员一样。在外面候命的还有与我们 “并肩作战” 的消防车驾驶员,他会坐在车里,通过对讲机喋喋不休地传递各种信息。而我们则会假装记录他在对讲机中传递的所有信息。

接下来,我会和同伴一起走进目标建筑,并且确保在迈入大门的瞬间,对讲机中传来的嘈杂刺耳的声音能够成功吸引所有员工的注意。我希望当我走进去的时候,每个人都能清楚地明白我的来意。尽量调大对讲机的声音,是为了获取他们的关注并且加剧他们的紧张感,而当他们都注意到我的时候,我会礼貌地道歉并将对讲机音量调小。

紧接着,我会向前台展示自己的工作证。他们会疑惑地说,“您好,请问发生了什么事情?” 而我则会回答,“目前一切都好,我是来做火灾检查的。” 然后,他们就会指派一名引路员陪我在公司内部四处巡查。我会开始跟引路员交谈,闲话家常,主要目的就是让他放松警惕。

当我和这名引路员交谈时,我的同伴就会得到信号借口离开我们。大多数情况下,引路员会不放心地询问说,“你确定自己能找的回来吗?需要我陪你们一起吗?” 我们的回答自然是,“很确定,不用麻烦了。” 但是这样并不能彻底打消这名引路员的热情,如此循环往复两三次后,引路员终于拗不过我们选择让我的同伴独立离开。也许在她的潜意识里,我们只是一名消防员,只会做我们应该做的事,不会随意翻动公司的东西。对于她的这种想法,我只能感慨地说 “太天真!”

同伴离开我们后的第一项工作,就是开始窃取一切他能够窃取到的东西并将其装进背包。他还必须要在所发现的任何员工办公桌下安装小型键盘记录器。而我的任务就是尽可能地拖住引路员,为同伴争取更多时间。我会一直在办公室里走来走去,尽管我是个 “门外汉”,但我仍然会时不时地提醒他们一些有关防火救火的常识。我临场发挥编了很多东西,可能还给了一些非常糟糕的建议。我会故作镇定地拉拉一些电线,并警告他们说,“这看起来有点危险”。还会评论评论小型供暖器,告诉他们谨慎使用。我感觉自己完全能够Hold住全场!

几年前,我曾在Home Depot购入了一个设备,它看起来就像卷尺一样,但又不是普通的卷尺。它有一个激光指示器,还会发出 “咔哒咔哒” 的声音。这个设备对我来说就像《星际迷航》中的Tricorder(手持式的多功能仪器,可以处理和分析数据,扫描周围的空间组成,探测此范围内的生命信号,甚至还可以通过扫描来诊断设备的故障)。可以这么说,我能够用它做任何神奇的事情。我会把它放在一个插座上,然后说,“看起来这段电路有些超负荷了!” 在 “神器” 的加持下,他们对我的每句话都深信不疑。毕竟人们总是习惯信任手里有专业工具的人。

与此同时,我的同伴还在继续他安装小型键盘记录器的任务。如果发现有员工坐在工位上,他就会说,“嘿,你介意我查看一下你的办公桌下面吗?我在检查是否存在火灾隐患。” 如果员工问道,“我桌子下面会有什么危险?” 他就会答道,“你知道电脑背面的风扇吗?如果它停止运作的话就极有可能引发火灾。” 好吧,这种解释听起来也挺合理。

我的同伴会躲在桌子底下,然后从包里拿出一个加密狗,轻松地安装到该员工的计算机上,现在,所有的数据都要经由该设备,而我们也可以轻松获取到这些数据。当然,这个过程是不会被那位员工发现的,因为他通常只会在旁边徘徊,而不会紧盯我同伴的一举一动。

接下来我们会碰头,并且边走边大声讨论。这样我们就能了解已经完成了哪些步骤,然后他会回去我无法 “下手”(因为引路员的关系)的地方继续行动。他会说,“我已经检查了所有办公桌。” 而我则会说,“你可以帮我一个忙吗,回去XXX地方然后一会再碰头。” 然后我会为他指明方向,让他代替我回去部署一些我在溜达的过程中发现的有趣的地方。

当我们离开的时候,我不希望他们认为我们的任务已经彻底完成,我希望能够再次回来。这时候,车里的驾驶员就会通过对讲机告诉我们需要在几天后进行回访,以查看之前发现的问题是否妥善解决。听到对讲机内容后,我转头对引路员说,“不好意思了,我们还会再回来打扰的。”

接下来的几天内,我们会对获取到的内容进行整理和备份。然后再向目标企业发送一封紧急通知,声称我们丢失了原始的检查表。由于我们已经部署得当了所有的措施,所以第二天的收尾工作进行的很顺利。第二次回访结束后,我们告诉他们,所有检查结果已经准备就绪,不日将通过电子邮件将报告发送给他们。

当这次社会工程项目结束的时候,我们不仅偷到了东西,还成功获取了系统登录和密码的访问权限,因为我们一直在使用密钥记录设备来记录这些信息,所以,无论是在线网站还是他们系统上的本地账户统统尽在掌握。而且我们一直潜伏在他们的无线网络上,所以摧垮它也是分分钟的事情。

当我们完成了需要完成的所有事情时,我们要做的最后一件事就是 “垃圾桶寻宝”。我们带着橡胶手套撕开垃圾袋,从里面获取了很多的机密信息。对于这个结果真的很令人震惊,原来垃圾箱竟然是如此有利可图的地方,原来如此多的机密信息最终都落入了垃圾箱中。

演习活动结束后,我们向目标企业员工展示了我们所获取到的内容,而他们脸上无不呈现震惊的表情。面对网络安全问题,“侥幸心理” 谁都有,很明显,这件事对他们来说也是未曾想过会发生的事情。一周前的他们也许从未想过会因为我们今日的行为而陷入困境,但现在他们眼看着一切完全有可能发生,而且完全有可能发生在他们自己身上。但幸运的是,这只是一次演习经历,也希望他们能够从中吸取教训,提升自身安全意识。

相关阅读

社会工程攻击:披着羊皮的狼

五种手段抵御社会工程攻击

社会工程师劫掠银行14.2万美元终被抓

 

 

 


相关文章

写一条评论

 

 

0条评论