欺骗的艺术 作者: 美 凯文·米特尼克-第13章

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！


　　道格试图通过一个未公布的电话号码在我面前隐藏起来的故事到此为止。
　　好戏开始了。
　　过程分析
　　这个故事里的年轻女士之所以能获得她想要信息来实现她的复仇计划，是因为她拥有内部知识：那些电话号码、程序和电话公司的行话。有了它们她不仅可以找到一个新的、未公布的电话号码，而且可以在冬季的晚上，让一个电话转接员为了她而穿过整个城镇。
　　“比格（BIGG）先生想要这个”
　　一个流行的非常有效的胁迫方式——因为它太简单了——依赖于利用权威来影响人们的行为。
　　仅CEO办公室助手的名字就很有价值，私人侦探，甚至猎头公司都始终在做这些事情。他们打电话给接线员；说他们想要联系CEO的办公室。当秘书或者助理经理回应时，他们就说他们有一个文件或者包裹给CEO，或者如果他们发送一份电子邮件附件，她能把它打印出来吗？或者他们会问，传真号码是多少？顺便问一下，你叫什么名字？
　　然后他们打电话给下一个人，说，“比格先生办公室的琼尼（Jeannie）要我打电话给你，他说你能帮我。”
　　这个技巧是打电话时略提权威人士以示相识而提高自己身份，它通常是个惯用的方法，通过影响目标让他相信攻击者与权威人士有联系而迅速建立友好关系，目标大多对这些人有好感，他们认识他认识的人。
　　如果攻击者着眼于进攻高度敏感的信息，他可以使用这些方法激起受害人有用的情绪，例如害怕和上司之间陷入麻烦。下面是一个例子。
　　斯科特（Scott）的故事
　　“斯科特·艾布拉姆（Scott　Abrams）。”
　　“斯科特，我是克里斯多佛·道布瑞　（Christopher　Dalbridg），我刚刚和比格雷（Biggley）先生结束通话，他有些不高兴。他说他10天前发了一条短信给你，想要拿你的市场深入调查给我们分析。但我们没有拿到任何东西。
　　“市场深入调查？没有人和我说过和它有关的任何事情。你是哪个部门的？”
　　“我们是他请来的顾问团；我们已经落后于预定计划了。”
　　“听着，我在去开会的路上，告诉我你的电话号码……”
　　现在攻击者听上去有些失落：“你想让我告诉比格雷先生吗？！听着，他希望明天早上拿到我们的分析，我们不得不整晚都为它工作。现在，你希望我告诉他我们不能完成，因为我们没有没有从你那里拿到报告，或者你想亲自告诉他呢？”
　　一个生气的CEO可以摧毁你的一个星期，目标可能会决定在去开会之前较好的解决这些事情。再一次，社会工程师按下了正确的按钮获得了他想要的回应。
　　过程分析
　　如果一个人在公司里地位相当低，通过提及权威人士工作的胁迫方式很有效，利用重要人物的名字不仅可以消除正常的不愿和怀疑，而且经常让人热情的满足要求。当你认为这个你帮助的人是重要的或有权势的，自然希望自己变得更加有用。
　　社会工程师知道，虽然，运用这种特殊的欺骗是最好的，利用比目标上司等级更高的人的名字，但是小公司对这种开局很机警：攻击者不想他的目标有和商业副总裁交谈的机会。“我发送了一份产品销售计划给你，那个人跟我说的。”能轻易的引起这样的回答“什么销售计划？什么人？”这将导致公司发现自己被攻击了。
　　米特尼克信箱
　　胁迫可以引起对惩罚的畏惧心理，使人们合作。胁迫也可以引起人们对困境的畏惧心理或者害怕失去新的提升机会。
　　人们必须训练当陷入安全危机时，不但是可以接受的而且是合理的去挑战权威。信息安全训练应该包含教育人们如何通过友好用户途径挑战权威，而不会破坏关系。而且，应当落实这些期望。如果一个员工不支持不考虑身份的挑战权威，正常的反应是停止挑战——正好和你想的相反。
　　社会保险总署（Social　Security　Administration）了解你的哪些事情
　　我们喜欢认为政府机构把我们的信息保护得很严密，只有可信的人才能知道。事实是甚至联邦政府都不像我们想象的那样免疫入侵。
　　梅林（May　Linn）的电话
　　地点：　社会保险总署区域办公室
　　时间：星期四的早晨；　上午10：18
　　“三号Mod；我是王梅林。”
　　电话的另一端的声音听上去像是在道歉，几乎有些羞怯。
　　“王女士，我是艾伦戴尔·亚瑟，审查中心办公室。我能叫你‘梅’吗？”
　　“是‘梅林’”她说。
　　“好的，是这样的，梅林，我们这里来了个新人，他至今还没有电脑，马上他要有一个优先的任务，他就用了我的电脑。我们属于美国政府，我们大声的抱怨，但他们说他们的预算里没有足够的钱为这个人买一台电脑。现在我的上司认为我拖欠了工作并不想听到任何借口，你知道吗？”
　　“我懂你的意思，好的。”
　　“你能帮我快速查询一下MCS吗？”他请求道，用到了查询纳税人信息的电脑系统的名字。
　　“当然，你要查什么？”
　　“首先我需要你对约瑟夫·詹森进行一次阿尔法查询（alphadent），DOB是7/4/69。”（阿尔法查询的意思是在电脑里按字母顺序查询纳税人的名字，通过生日来确认身份。）
　　在简短的停顿后，她问道：
　　“你需要知道什么？”
　　“他的账户号码是多少？”他说，用到了社会保险号码的内部称呼。她把它读了出来。
　　“好的，我需要你对那个账户号码进行数据列表（numident）。”打电话的人说。
　　数据列表是请求她把纳税人的基本数据读出来。梅林回答了纳税人的出生地点、母亲的名字和父亲的名字。当她同样告诉他发行卡的年月和发行它的区域办公室时，打电话的人有耐心的听着。
　　他下一步请求进行一次DEQY（显然“DECK…wee”是“详细收入查询”的简写。）
　　DEQY的请求得到了这样的回应，“哪一年的？”
　　打电话的人回答，“2001年。”
　　梅林说，“总计190；286美元，户头是詹森微技术公司。”
　　“还有其它收入吗？”
　　“没有。”
　　“谢谢，”他说，“你真是个好人。”
　　然后他试着和她商量当他需要信息并且不能使用他的电脑的时候能获得帮助，他再次使用了拿手的社会工程学欺骗，尝试和同一个人保持联系，避免每次都要寻找新的目标。
　　“下个星期不行。”她告诉他，因为她要去肯塔基州参加她妹妹的婚礼，在其它的时间她可以帮他，只要她办得到。
　　当她挂上电话时，梅林感觉很好，因为她为一个未被赏识的公务员提供了帮助。
　　
　　基思·卡特（Keith　Carter）的故事
　　从电影和畅销犯罪小说里可以得出结论，私人侦探缺乏道德规范，渴望知道如何了解人们有趣的事实。他们用很违法的方法实现它，几乎不能消除被逮捕的危险。真相，当然，大部分PI（译者注：private　investigator缩写，私人侦探。）的生意运作完全合法。自从他们中许多人开始在他们的工作中声称完全遵守法律，他们完全知道什么是合法的，什么是不合法的，大部分人不会想越过这条线。
　　这里，仍然，有例外。一些PI——比一些更多——所做的确实和犯罪小说里塑造的那些家伙一样。这些人在交易中充当信息经纪人很出名，将要违反法律的人的教养有限。他们知道如果走捷径就可以更快更好的完成任何任务。这些捷径可能严重触犯了法律，不过似乎不能阻止一个更加肆无忌惮的人，那将使他们在高墙下度过数年的时光。
　　高消费阶层的PI——这些人在城镇高价出租屋里设计出独特的办公套房——不亲自做这些事情，他们只是雇用一些信息经纪人为他们工作。
　　我们称呼这个人为基思·卡特，一个不受道德规范限制的私人侦探。
　　一个典型的案例是：“他藏钱的地方在哪里？”或者有时候是：“她藏钱的地方在哪里？”有时候是一个有钱的女士；想知道她的丈夫把她的钱藏在哪里（虽然为什么一个有钱的女人曾经和一个家伙结婚是一个谜；但这不是基思·卡特现在想知道的；因此没有去找一个很好的答案）。
　　这个案例里的丈夫名字是乔·詹森，他把钱藏了起来。他“是一个非常聪明的人，他从他妻子家族借了一万美元创建了一家高技术公司，发展成了上亿美元的公司。”按照她的离婚律师所说，他做了一件高难度的事情隐藏了他的资产，这位律师想要一份完成的资产报告。
　　基思首先确定他的起点是社会保险总署，目标是他们关于詹森的文件，像这样的情形，那里装着非常有用的信息。有了相关信息的帮助，基思可以伪装成目标让银行、经济公司和风险投资公司告诉他任何事情。
　　他的第一个电话打给了本地区域办公室，使用了任何公共成员都可以使用的同一个的800号码，这个号码列在了本地电话本里。当办事员在线时，基思要求连线产权局的人。等待了一会儿，然后有了声音。现在基思改变了方式；“你好，”他说，“我是格热格瑞·亚当斯（Gregory　Adams），329区域办公室。听着，我在设法联系一个产权调停者操作一个尾数为329的账户号码，我从传真机那里得到的这个号码。”
　　“那是2号Mod。”这个人说，他查到了号码并告诉了基思。
　　下一个电话他打给了2号Mod（译者注：上文中说的是三号Mod，不知道为什么）。当梅林响应时，他改换了角色，成了审查中心办公室的一名进行常规审查的工作人员，碰到了问题，他的电脑不得不给别人使用。她把他要找的信息告诉了他，还同意在他将来需要帮助时找她帮忙。
　　过程分析
　　是什么使得利用员工的同情心这一方法有效？在这个故事里，别人用了他的电脑然后“我的上司对我不满了”。人们并不经常表达他们的情感，当他们这样做时，可以使人们再一次失去对社会工程学的本能防御。“我遇到了麻烦，你能帮我吗？”的情感策略是赢得这一天用的所有东西。
　　不安全的社会
　　难以置信，社会保险总署把他们全部的程序操作手册提交到了网上，这些信息里有很多对他们有用，但同样也对社会工程师有价值。它包含了缩写、术语和如何请求你想要的东西的指令；就像这个故事里描述的那样。
　　想要知道社会保险总署的更多内部信息？只要在Google里面搜索或者在你的浏览器里输入下面这个地址：policy。ssa。gov/poms。nsf/。除非这个机构已经阅读了这个故事并在你阅读这些以前移除了这个手册，你可以找到在线使用说明，它甚至详细地给出了哪些数据SSA办事员可以提供给执法部门。实际上，那一部门包含了任何可以使SSA办事员相信他来自执法部门的社会工程师。攻击者不能成功的从一个接到审查中心的电话的办事员那里获得这些信息。基思的攻击方式仅仅是使用一些公众难以获得的电话号码，接听的人因此希望任何打这个电话的人应当是内部的一些人员——另一个地下酒吧式安全的例子。帮助这一攻击的基础包含以下几个前提：
　　知道Mod的电话号码。
　　知道他们使用的术语——阿尔法查询、数据列表和详细收入查询。
　　假装来自审查中心办公室，那是每一个联邦政府员工都知道的遍布政府的有很大权力的研究机构。这给了攻击者一个权威的光环。
　　一个有趣的事实是：社会工程师似乎知道怎么样进行请求，因此一个曾经认为那很困难的人，即使当他问“为什么你打电话给我。”时，理论上，如果这个电话来自一些完全不同的其它部门的人，可以建立更多理解。也许他的简单的意图只是帮助这个打电话的人，好让单调的日常工作能停顿一下，受害人不会去想这个电话有多么不寻常。
　　最后，这个故事里的攻击者，没有满足于这些到手的信息，他还想要和目标建立联系好让他可以有规律的打电话来。他可以使用普通的同情心攻击策略——“我把咖啡撒在键盘上了。”可是，那在这里不适用，因为一个键盘可以在一天里面更换掉。
　　因此他使用了这个别人用了他的电脑的故事，他可以适当地将扩充这些：“是的，我想他昨天会有一台他自己的电脑，但是一个人进来和另一个家伙进行了一些交易把它给换了。所以这个爱开玩笑的人仍然出现在我的办公室里。”等等。
　　我很可怜，我需要帮助，像有魔力一般有效。
　　一个简单的电话
　　一个攻击者的主要障碍是让他的请求看上去合理，像是受害人的工作日里碰到典型请求一样，那不会让受害人太陌生。像一生中的许多其他事情一样，进行合理的请求有一天是个挑战，但是下一步，它就会变成小菜一碟。
　　玛丽·哈里斯（Mary　Harris）的电话
　　日期/时间：星期一，十一月23日，上午7：49
　　地点：麦斯拜&火炬会计公司（Mauersby　&　Storch　Accounting），纽约
　　对于大多数的人而言，会计工作就是数字整理和账目计算，通常认为那些就像在小路上漫步一样惬意。幸运的是，不是每一个人都那样看这份工作。例如，玛丽·哈里斯认为她的工作像高级会计师一样有趣，一部分原因是她是这家公司最专注的会计员工之一。
　　在这个特殊的星期一，玛丽到得很早，开始了漫长的一天里她的首要工作，并吃惊地发现她的电话响了。她接了电话，报上了她的名字。
　　“你好，我是彼得·谢帕德（Peter　Sheppard）。这里是奥布斯特（Arbuclde）公司，这家公司为你的公司提供技术支持。我们在周末收到了几个这里电脑有问题的人的投诉。我想我可以在早上所有人进来工作之前充当故障检修员。你的电脑有任何问题或者连接网络有任何问题吗？
　　她告诉他她还不知道。她打开了她的电脑，当电脑启动的时候，他解释了他要做的事情。
　　“我想在你的电脑上进行一些测试，”他说，“我能在我的屏幕上看见你键入的字，我想确认网络通顺。所以当你录入时，我想要你告诉我那是什么，然后我会检查这里是否是相同的文字或数字。好吗？”
　　梦魇一般的景象，她的电脑无法工作，失败的一天，不能完成任何工作，她很高兴这个人能帮她。过了一会儿，她告诉他：“我到了登陆屏幕，我要输入我的ID。我现在键入它——M。。。A。。。R。。。Y。。。D。”
　　“到现在为止很好，”他说，“我看到了。现在，前进并输入你的密码但不要把它告诉我。不要把你的密码告诉任何人，甚至技术支持部门都不可以。我在这里只会看见星号——你的密码受到了保护所以我无法看到它。”这些都不是真的，但这对玛丽有意义。然后他说：“当你的电脑启动时告诉我。”
　　当她说它启动了时，他要她打开两个应用程序，然后她报告说他们运行得“很好”。
　　玛丽看到所有东西都运行正常，放心了。彼得说，“我很高兴可以确定你的电脑工作正常。听着，”他继续道，“我们刚才安装了一个更新程序，允许人们更改他们的密码，你可以给我几分钟时间让我能检查它是否工作正常吗？”
　　她对他的帮助很感激于是欣然答应了。彼得告诉她运行这个程序的步骤，允许用户修改密码，这是Windows2000操作系统的标准