學習筆記（2019.11.9）
社會工程學概述
社會工程學，又簡稱爲社工。它的大概意思就是欺騙或詐騙他人或引誘他人去爲自己進行特定的行動，以達到蒐集信息、欺詐、訪問計算機系統的目的，而且在很多時候攻擊者與受害者並沒有面對面的接觸。
社會工程學對一個攻擊者而言的重要性不可小覷，同時作爲安全人員，也要對社會工程學進行研究，這樣纔可以識破黑客的伎倆，更好的做好自己的工作，同時普通的網民也很有必要對社會工程學又所瞭解，從而減少被攻擊者欺騙、詐騙的可能。
社會工程學攻擊
常見的攻擊方式：
1、結合實際的環境滲透
這種方法需要攻擊者結合被攻擊者所處的環境，和他的喜好，重視什麼下手，又一種給被攻擊者畫像的感覺，把他的形象慢慢描繪出來從而對其的信息進行綜合利用，從瞭解到攻擊的方式。
2、僞造欺騙被攻擊者
這個就是我們常說的詐騙，釣魚攻擊。通過僞造郵件和釣魚網站，來誘騙被攻擊者輸入賬號密碼或者下載惡意應用。主要事針對疏於防範的心理進行誘騙，利用了信任和疏忽。
3、說服被攻擊者
它要求要攻擊者需要與被攻擊者，達成某種一致，這種傷害很大。但是我認爲難度也是很大的，首先雙方需要又共同利益，尋找共同利益並且就此達成一致需要一定的水平，或者就是給好處收買，主要針對一些意志動搖者，要麼就是威逼利用，抓住他的把柄來說服他爲黑客辦事，這個和恐嚇也有點像，但是我認爲恐嚇被攻擊者的手段，大多是一次性的爲了一次性的獲取相關的敏感信息，而通過恐嚇威逼來說服他爲自己辦事，就可能是一個持續性的工程，我認爲這應該是二者的區別。即長期與短期的區別。
4、恐嚇被攻擊者
恐嚇式的攻擊，就是我認爲大多是短期恐嚇的攻擊方式，他更加追求一次性的通過這個手段獲取被攻擊者的信息。主要還是僞裝成某些機構、政府部門等對被攻擊者進行相應的恐嚇，利用了人的害怕或者恐懼心理下手。
5、恭維被攻擊者
這個就需要黑客的個人能力很強了，需要精通心理學，人際關係學，行爲學等知識和技能，善於利用人的本能反應和好奇心，盲目信任、貪婪等人性弱點設置攻擊陷阱，投其所好，實施欺騙。
6、方向社會工程學
黑客通過技術或非技術手段給計算機造成故障，使得被攻擊者深信問題存在，誘使其泄露關鍵信息。這種方法很隱蔽，主要還是利用了病急亂投醫的心理。
信息收集
1、爬蟲
2、使用搜索引擎語法
3、Nmap
4、DNS分析
5、Nessus
6、Scapy
其中搜索引擎語法是個很好的信息收集方式，搜索引擎大家都會簡單使用，但是搜索引擎的高級用法很多人就不知道了。Google hack語法就是黑客們很喜歡用的，但是不同的搜索引擎的搜索語法是不同的。爬蟲也是很好用的一個工具。至於Nessus，我今天安裝在了Windows上但是搞了半天不太會，host掃描的時候局域網內的存活主機一個都沒有被掃描出來。還有待研究。
總結
社會工程學真的很重要，利用社會工程學攻擊者可以獲取大量的信息和數據，造成的危害也是很大的，黑客利用心理學攻擊人們，防不勝防。惡意軟件和惡意插件更是橫行，網絡風險很大，我們很有必要掌握一些必要的社會工程學知識才可以瞭解黑客背後的手法，纔可以很好的做好安全防護這件事情。一句話：社會工程學很重要，也很必要，它可以幫助我們提升安全意識，提升自我保護的意識。