淺談社會(huì)工程學(xué)的入侵與防范

陳偉力

（邯鋼培訓(xùn)中心，河北 邯鄲 056000）

隨著個(gè)人計(jì)算機(jī)和互聯(lián)網(wǎng)的發(fā)展，個(gè)人隱私等各種各樣的個(gè)人信息越來(lái)越多的存在計(jì)算機(jī)與網(wǎng)絡(luò)之上，而窺探他人秘密的人也應(yīng)運(yùn)而生，他們的目的各種各樣，出于商業(yè)的競(jìng)爭(zhēng)、好奇心的作用、自我成就感的滿足、報(bào)復(fù)心理的作用等等。網(wǎng)絡(luò)上各種入侵的方法、技術(shù)層出不窮，人們對(duì)個(gè)人隱私的保護(hù)最常用的方法就是設(shè)定密碼。而針對(duì)密碼破解的方法也越來(lái)越多，目前網(wǎng)絡(luò)上流行的工具可以讓一個(gè)初級(jí)的黑客也能破解一些密碼。而對(duì)于更高級(jí)的密碼破解，則不僅是依靠單一的軟件進(jìn)行，而是要用到社會(huì)工程學(xué)這一技術(shù)。本文將從利用社會(huì)工程學(xué)這一技術(shù)破解密碼去分析，如何設(shè)定安全的密碼來(lái)保護(hù)個(gè)人的信息。

目前，密碼破解最基本的方法就是窮舉法，其基本思路如下：利用計(jì)算機(jī)處理信息快的特點(diǎn)，將所有可能用到的密碼組合進(jìn)行逐一的驗(yàn)校，直到成功為止。理論上說(shuō)，只要時(shí)間足夠沒(méi)有任何一個(gè)密碼是安全的。但窮舉法的問(wèn)題在于它要逐個(gè)對(duì)有可能的組合進(jìn)行驗(yàn)證，通常入侵者不可能將所有的密碼組合驗(yàn)證一遍，比如aa19G8*&^這樣的密碼如果按照窮舉破譯的話以現(xiàn)有計(jì)算機(jī)的速度至少要5年以上，這顯然是入侵者不愿意看到的。

而更有經(jīng)驗(yàn)的入侵者會(huì)運(yùn)用社會(huì)工程學(xué)原理輔助進(jìn)行密碼的破譯。首先看一下社會(huì)工程學(xué)（Social Engineering）的定義：社會(huì)工程學(xué)是關(guān)于建立理論通過(guò)自然的、社會(huì)的和制度上的途徑并特別強(qiáng)調(diào)根據(jù)現(xiàn)實(shí)的雙向計(jì)劃和設(shè)計(jì)經(jīng)驗(yàn)來(lái)一步一步地解決各種社會(huì)問(wèn)題?？傮w上說(shuō)，社會(huì)工程學(xué)就是使人們順從你的意愿、滿足你的欲望的一門藝術(shù)與學(xué)問(wèn)。它并不單純是一種控制意志的途徑，它不能幫助你掌握人們?cè)诜钦Ｒ庾R(shí)以外的行為，且學(xué)習(xí)與運(yùn)用這門學(xué)問(wèn)一點(diǎn)也不容易。

社會(huì)工程學(xué)同樣也蘊(yùn)涵了各種各樣的靈活的構(gòu)思與變化著的因素，無(wú)論何時(shí)，在需要套取到所需要的信息之前，社會(huì)工程學(xué)的實(shí)施者都必須掌握大量的相關(guān)知識(shí)基礎(chǔ)、花時(shí)間去從事資料的收集與進(jìn)行必要的如交談性質(zhì)的溝通行為。與以往的入侵行為相類似，社會(huì)工程學(xué)在實(shí)施以前都是要完成很多相關(guān)的準(zhǔn)備工作，這些工作甚至要比其本身更為繁重?？傊鐣?huì)工程學(xué)就是一種通過(guò)對(duì)受害者心理弱點(diǎn)、本能反應(yīng)、好奇心、信任、貪婪等心理陷阱進(jìn)行諸如欺騙、傷害等危害手段，取得自身利益的手法。

利用社會(huì)工程學(xué)入侵者可以有針對(duì)性的對(duì)入侵對(duì)象編輯密碼字典即只將有可能的密碼組合作為驗(yàn)證的范圍，這樣有的放矢的進(jìn)行破譯，不僅大大縮短了破譯時(shí)間，也提高了入侵的準(zhǔn)確性。當(dāng)然，在入侵中，入侵者還會(huì)根據(jù)已經(jīng)掌握的資料對(duì)入侵對(duì)象進(jìn)行進(jìn)一步的分析，主動(dòng)分析入侵對(duì)象的密碼設(shè)定方式，分析對(duì)方心理，從而更快的破解出密碼，這便可以看作是社會(huì)工程學(xué)的簡(jiǎn)單應(yīng)用。

通常分析會(huì)從以下幾個(gè)方面入手：

1 名字的縮寫(xiě)

對(duì)中國(guó)人來(lái)說(shuō)，一般都沒(méi)有英文名的習(xí)慣，所以很多人用中文拼音做密碼，一般人去論壇等地注冊(cè)一個(gè)用戶名，由于簡(jiǎn)稱很容易被別人先用，所以一般用全稱。這里說(shuō)的是名，如果是密碼，一般要倒過(guò)來(lái)考慮，先從簡(jiǎn)稱再全稱，理由很簡(jiǎn)單：短，輸入時(shí)間快。

2 簡(jiǎn)單的數(shù)字組合

數(shù)字也是用地很多的，且根據(jù)一般人的心理用得最多的密碼是：123、123456，特別是新手。一般人密碼是三位或者是六位。下面一些也是常用的：1、11、111、123、168、1314、520（特殊意義的數(shù)字）。

3 生日、電話號(hào)碼作為密碼

由于人們怕忘記，而自己的生日或家里的電話是不會(huì)忘記的，所以就用生日、電話號(hào)碼作為密碼。上述的六位，所以剛剛好。在用戶看來(lái)省事，比如一個(gè)人的生日是1979年1月2日，一般的習(xí)慣是：六位就是790102，四位是7912。

如果月和日是只有一位的，也就是1～9，一般人就用四位的，如：7632，而不是760302，如果日期是雙位的，10～31，一般人也就用到六位而不會(huì)是五位，如：760321而不是76321。如果月是雙位，一般日就是雙位的，如：761203，而不是76123。總體來(lái)說(shuō)，也就是月和日都是同樣位數(shù)的。因?yàn)檫@樣比較美觀。也有人不用日，只用月，如：763，而對(duì)中國(guó)人來(lái)說(shuō)7603用得少，因?yàn)?看起來(lái)是多余的。其實(shí)只要細(xì)心便不難發(fā)現(xiàn)，大多數(shù)人在設(shè)定密碼時(shí)都或多或少的會(huì)有這方面的習(xí)慣。

4 常用單詞或組合

用簡(jiǎn)單的單詞作為自己的密碼也是人們常有的一種密碼設(shè)定時(shí)的行為。有兩種情況：①生活中的一些單詞，如：boy、apple、angle等。②與計(jì)算機(jī)相關(guān)的單詞如：system、cpu、photoshop等。

5 密碼組合設(shè)定

對(duì)入侵者來(lái)說(shuō)，一般破解應(yīng)按以下順序來(lái)：數(shù)字→字母→特殊符號(hào)。在用戶名上，對(duì)方用戶名一般不用大寫(xiě)，用小寫(xiě)的較多。而密碼就要考慮大小寫(xiě)。理論上也應(yīng)該按照先小寫(xiě)再大寫(xiě)。因?yàn)橛脩糨斎氪髮?xiě)字一般不按shift鍵而是按CapsLock鍵，所以理論上來(lái)說(shuō)要大寫(xiě)所有字母都大寫(xiě)。

6 以點(diǎn)帶面的分析思路

通常一個(gè)入侵者在收集信息時(shí)，會(huì)從側(cè)面入手、細(xì)微入手，分析用戶的信息。從一些容易獲得的信息去進(jìn)行深層次的分析。比如，在現(xiàn)在社會(huì)電子郵箱是大家聯(lián)系使用較頻繁的工具之一。我們看一下從電子郵箱入手的話可以知道一些什么呢？例如：通過(guò)一個(gè)最常見(jiàn)的郵箱地址caiyihao@163.com可以知道一些什么呢？可以看出來(lái)是對(duì)方是用拼音的用戶名，所以對(duì)方應(yīng)該姓蔡。cyh790101@163.com還可以知道一些什么呢？對(duì)方生日：790101。當(dāng)然還可以由一個(gè)人昵稱推知名或者姓，例如QQ昵稱“浩”，很明顯這個(gè)人的名有“浩”字，獲得信息還有很多途徑，用得多是搜索引擎，建議最少用兩個(gè)，可以用他的名搜，也可以用他的郵箱搜，還可以用他的文章搜等等。平時(shí)應(yīng)該多一些常識(shí)，例如對(duì)方QQ上寫(xiě)了“廣東dg”，結(jié)合地理就應(yīng)該知道是“廣東東莞”。至于由對(duì)方聊天內(nèi)容看出對(duì)方性別、大概年齡、是否在讀書(shū)、是否獨(dú)生子女、在家里兄弟姐妹中排老大還是最小，這些就不是本文所要涉及的。

在入侵過(guò)程中，入侵者一般會(huì)有足夠的耐心去分析入侵對(duì)象的各種信息，又由于一般上網(wǎng)的人們通常的一個(gè)心態(tài)是，我一個(gè)普通人沒(méi)有什么可保密的東西，就算郵箱被破解了，或QQ被盜了，再申請(qǐng)就行了，也就是這樣的心理作怪，才使入侵者有機(jī)可乘，你的一個(gè)不在乎的心理可能會(huì)為以后埋下隱患。

社會(huì)工程學(xué)看似簡(jiǎn)單的欺騙而已，卻又包含了復(fù)雜的心理學(xué)因素，其可怕程度要比直接的技術(shù)入侵大得多，對(duì)于技術(shù)入侵我們可以防范，但是心理漏洞誰(shuí)又能時(shí)刻警惕呢？毫無(wú)疑問(wèn)，社會(huì)工程學(xué)將會(huì)是未來(lái)入侵與反入侵的重要對(duì)抗領(lǐng)域?？傊褐税賾?zhàn)不殆，了解入侵者的方式，針對(duì)此更好的保護(hù)個(gè)人信息的安全，讓網(wǎng)絡(luò)更好的為我們服務(wù)，才能為我們營(yíng)造一個(gè)良好的網(wǎng)絡(luò)環(huán)境。