***手法:
在我們做***的過程中，往往通過員工能搞定很多的企業，拿到核心的數據庫，最常見的如以下幾種情況。
1.密碼一條龍
由於很多的互聯網數據庫被******，在互聯網或地下圈子流傳，通過信息查詢到某個公司員工郵箱，電話，姓名等可以從社工庫查詢到已使用的密碼，而所有網站及公司系統使用的賬戶都同屬於一個密碼，給***者帶來了很多的便利條件。
2.安全意識薄弱
通過信息蒐集到郵箱等信息，發送一些誘惑力文件，員工會不會判斷是否***,從而進行打開、讓***者直接獲取個人電腦權限。
3.弱口令 默認口令
弱口令，密碼跟賬戶名相同，或者爲密碼爲賬戶名之後加123、如wangjun,密碼wangjun123.或者常見的弱口令,admin 1q2w3e
通過第三方漏洞平臺，或者已登錄到某個郵箱查看默認密碼,很多公司給新人入職的時候都會設置一個默認的密碼，如aabbwangjun，這樣設置存在規律。
4.公開分享
如github 百度文庫這些都屬於公開的內容，而傳源碼的時候，沒有進行脫敏處理，自己的常用密碼，或者公司的敏感信息存在。
5.網盤 雲筆記
當網盤，或者雲筆記存在漏洞，或者***者知道你密碼的情況下，進入你的網盤，獲取到已存儲的敏感信息。
6.私建wifi
有的公司wifi有mac地址綁定，這樣的情況下員工的手機沒辦法上網，這時候很多人自己建立wifi，切密碼爲弱密碼，或者根本沒有設置密碼，***者在你公司一定的範圍內，可以破解無線密碼，通過你的電腦，當作一個跳板,來連接到公司的內網。
7.資料脫敏
某天，接到邀請，去參加某個大會，讓你來做一個PPT，ppt中出現了你公司的網絡拓撲，或者是某個系統版本型號，知道拓撲我就知道你內網環境，知道系統版本型，我可以對應版本型號去找下漏洞，往往內網系統很多的漏洞都沒有修復。
8.敏感信息保存
如密碼就保存在某個盤符，文件名就是xxxx密碼.txt。或者某些公司敏感的文檔應該加密保存。
9.私建web
程序員寫代碼爲了調試兼容性運行一套集成化的環境，如phpstudy，但這些環境的密碼都是默認密碼並且服務都是system權限，***者可以直接連接你數據庫獲取你的電腦權限，還有很多的人運行一套存在漏洞的系統，這時候也給***者帶來便利條件，如jenkins wampserver等。
10.禁用緩存密碼
如現在很多的軟件，都會提示讓你保存密碼,爲了下次不輸入密碼。看起來很方便，提高了用戶體驗，但往往也存在安全性，因爲你保存密碼，那麼肯定會存儲某個地方，如註冊表，安裝目錄配置文件等，很多的加密都是可逆的，如chrome ,winscp等。
11.sns 暴露真實信息
1.認證 可得知認證公司極職位
2.教育 可得知曾經的教育經歷
3.職業信息 可得知曾經的就職信息
4.個人簡介 可得知到你的電話，郵箱，博客等一系列信息
防禦方案:
公司層面
按時修改賬戶密碼，切密碼爲大小寫數字字母混合，長度爲8位，公開演講的PPT進行內審。監控系統，監控外部公開分享是否存在我司敏感信息，wifi安全，推薦360天巡(發現僞熱點，進行阻斷)。Wifi這塊暫時瞭解到就這麼一款比較成熟的產品。
個人層面
密碼分爲 高 中 低設置不同的密碼，
mail 支付寶 QQ 等我列爲一類爲高危，因爲一旦獲取到賬戶之後，可以獲取大量的真實的信息。
網盤 雲筆記 列爲一類爲中危，不在這些地方儲敏感信息，因爲我這時候有可能有自己的一些總結筆記，
低危,很不常用網站，註冊的時候就使用最簡單的密碼如123456等，登錄進去也無所謂，沒必要設置高強度的密碼。
家庭地址：
每次買東西都填寫一次家庭地址，不會把家庭地址保存京東 淘寶等。
緩存密碼:
不在任何瀏覽器緩存任何網站的密碼，定時清理下訪問記錄。
本地搭建web服務
只允許本機訪問，這是我一貫的作風，要是同事可以訪問可以指定IP。或者你的密碼必須爲高強度。