欺骗的艺术-第33部分
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
谝徊勘缓鍪拥那蕴鳎谌魏问焙蛭颐敲扛鋈硕加斜环欠嗫氐奈Ｏ铡５比唬倍救砑炭赡苋衔涞绦蚩梢杂糜诤戏康模虼瞬挥Φ笔游褚馊砑５怯珊诳屯盘迕夥逊⒉迹ɑ虻背砂踩喙爻绦虺鍪郏┑哪承┕ぞ呷椿岜皇游褚獯耄抑两穸疾幻靼孜裁椿嵊姓庵炙乇曜肌�
同一封邮件中的另一段则声称它可以捕捉用户的电脑屏幕图像，就像是一台放在他肩膀上的摄像机。其中部分软件产品甚至不需要亲自接触受害人的电脑，只要远程安装并配置好应用程序，你就马上拥有了一部电脑窃听器！FBI（联邦调查局）肯定很喜欢这种技术。
由于间谍程序的广泛使用，你的企业需要建立双层防护。你应当在所有工作站上安装间谍程序检测软件，如SpyCop （网址： www。shubao2。com），你还应当要求员工进行定期扫描。此外，你还必须培训员工提防下载程序或打开电子邮件附件之类的可以安装恶意程序的骗局。
除了防范间谍程序的安装（当员工因为茶会、午餐或会议离开办公桌时）以外，还应当规定所有员工在离开时必须使用屏幕保护密码或类似的方法锁定他们的计算机系统，这能大大降低员工的计算机被非法访问的可能性。即使混入某个人的房间或办公室也不能访问他们的任何文件，阅读他们的电子邮件或安装间谍程序（或其他恶意软件）。使用屏幕保护密码需要的资源几乎为零，却能很好地保护员工的工作站，在这种情况下进行成本效益分析应该是很容易的事情。
第十三章 聪明的骗局
现在你已经知道了，当接到陌生人请求敏感信息（或其它对攻击者有用的东西）的来电时，接电话的人必须被培训询问呼叫者的电话号码，然后打过去核实这个人的身份是否和他声称的一样——例如，一名公司员工，一名商业伙伴员工，或者一名供应商技术支持代表。
甚至当一家公司明确规定员工必须小心核实呼叫者的身份时，经验丰富的攻击者仍然可以利用许多骗局使受害人相信他们是他们声称的人，即使是安全意识较高的员工也会被下面所述的方法所骗。
骗人的来电显示
任何用手机接过电话的人都曾看到过来电显示——显示屏上呼叫者的电话号码。在商业环境下，员工只要看一眼便能知道打来的电话是公司同事还是外部人员。
很多年前，一些雄心壮志的电话盗打者就已经用上了来电显示功能，那时电话公司甚至还没有向公众开放这一服务，有一段时间他们吓坏了不少人，接电话的时候总是在对方还没来得及说话之前就喊出他们的名字。
当你养成了看来电显示的习惯时，你认为它是安全的并以此判断呼叫者的身份——这正是攻击者想要的。
琳达的电话
日期/时间：7月23日，星期二，下午3：12
地点：星级漫游航空公司财政部办公室
当琳达o希尔（Linda Hill）的电话响起的时候她正在为她的老板书写备忘录，她看了一眼来电显示，发现是一个叫维克托o马丁（Victor Martin）的人从公司在纽约的办公室打来的——她不认识这人。
她本来想把电话转到语音信箱，这样她就不会中断写备忘录的思路，但好奇心还是占了上风，她拿起了电话，然后对方自我介绍说他是产品推广部的员工，正在为CEO整理一些材料，“他正在赶往波士顿和我们的一些银行家开会，他需要本季度的财务报表，”他说，“另外，他还需要Apache项目的财政预算。”维克多提到了公司春季主打产品代号。
她问他要电子邮件地址，但是他说他现在无法接收电子邮件，技术人员正在想办法解决，能否传真过来？她说也可以，然后他把他的内部传真号给了她。
几分钟后她发出了传真。
但维克多并不在产品推广部工作，事实上，他甚至不是这家公司的员工。
杰克的故事
杰克o道金斯很年轻的时候就开始了他的职业生涯——在纽约人体育场、拥挤的地铁月台和夜间聚集着游人的泰唔士广场行窃。他可以从一个人的手腕上取下手表而不被发现，可见他动作之敏捷手法之高超。但在他充满烦恼的少年时期，他却因失手而被抓了。在少管所里，杰克学到了一个新职业，被抓住的可能性非常之低。
他当前的任务是获得一家公司的季度损益表与现金流量信息，要在这些数据被提交到美国证券交易委员会（ SEC ） 并公布之前。他的客户是一个不愿意解释为什么需要这些信息的牙医，这个人的小心翼翼在杰克看来十分有趣，他之前的推测是——这家伙可能赌博赢了钱，要么就是有一个一直没被他的妻子发现的有钱的女朋友，或者也有可能是向他的妻子吹嘘了自己在股票市场的英明神武，总之现在他已经失去了所有的管束，只想进行一大笔投资，在这家公司公布他们的季度财务报表之前，预测他们的股票价格将如何变化。
人们惊讶地发现，细心的社会工程师可以迅速地应对从未遇到过的情况。当杰克从牙医那里回到家的时候，他已经想好了一个计划。他的一个朋友查尔斯o贝茨（Charles Bates）在Panda进出口公司工作，这家公司有自己的电话交换机或PBX（译者注：专用分组交换机）。
在了解电话系统的人熟悉的术语中，PBX连接着数字电话服务T1，并被设置为初始速率接口ISDN（综合服务数字网络）或PRI ISDN，这意味着从Panda打出的每一个电话都会通过一个数据频道发送呼叫处理信息到电话公司的交换机：这些信息包括将转到（除非被锁定了）对方来电显示上的主叫号码。
杰克的这个朋友知道怎样修改交换机让接到电话的人在来电显示上看到伪造的号码，而事实上电话是从Panda办公室打来的。这种骗局之所以有效，是因为当地电话公司懒得去验证客户的呼叫号码是不是实际上付钱的那个号码。
杰克o道金斯需要的只是使用这种电话服务，幸运的是他的朋友与合作伙伴查尔斯o贝茨总是乐于伸出援助之手，而只收取象征性的费用。在这里，杰克和查尔斯临时修改了电话交换机的设置，让Panda公司的一条指定电话线路使用维克托o马丁的内部电话号码，这样电话看上去就是从星际漫游航空公司打出的了。
你的来电显示不会出错，很多人都这样想，在这里，琳达愉快地把资料传真给了她认为是产品推广部员工的人。
当杰克挂上电话时，查尔斯又把交换机的设置给改了回来。
过程分析
一些公司不想让客户或供应商知道他们员工的电话号码。比如，福特公司规定，从他们的客户支持中心打来的电话应当显示800号码和“福特支持”字样，而不是每一个客户支持代表真实的电话号码。微软公司则让员工自己选择是否把电话号码告诉别人，并不是每一个接到他们电话的人都能看到来电显示并找出他们的位置。通过这种方法公司便能保持内部号码的隐匿性。
但是修改交换机设置对于一些人而言是在是太简单了，比如，恶作剧爱好者、收账单的人、电话销售员，当然，还有社会工程师。
变奏：美国总统来电
作为洛杉矶KFI谈话节目“互联网黑暗面”的客串主持人，我认识电台的节目总监大卫，他是我见过的最勤奋最负责的人，你很难电话联系到他，因为他实在是太忙了。他不接任何电话，除非来电显示上出现了他必须谈话的人。
当我打电话给他时候，因为我的手机出了问题，他不知道是谁的电话所以没有接，而让它转到了语音信箱，这让我觉得很失败。
我和一个老朋友详细地讨论了这件事，他创办了一家专门为高科技公司提供办公室的房地产公司。我们一起制定了一个计划，他可以使用他们公司的子午线电话交换机，也就是说他可以修改主叫号码，就像刚才的故事描述的那样。每当我需要联系节目总监但又打不通电话时，我就请我的朋友帮忙修改来电显示上的号码，有时候我想让电话看上去是大卫的办公室助理打来的，有时候则是电台的控股公司。
但我最喜欢的还是把它改成大卫自己家的电话号码，他总是会接，因为他信任这个人。当他拿起电话并发现我再一次和他开了个玩笑时，他永远都是那么幽默。当然，他会在线足够长的时间解决我的所有问题。
当我在阿特响铃秀上证明这一小小的骗局时，我让我的来电显示出现了FBI洛杉矶总部的名字和号码。阿特对整件事情非常震惊，他警告我说这是违法的，但我告诉他这是完全合法的，只要不用来诈骗。在那次节目之后我收到了几百封电子邮件，他们想知道我是怎么做到的，现在你知道了。
这对社会工程师而言是获得信任的绝佳工具，例如，在社会工程学攻击的调查阶段，只要目标有来电显示，攻击者就可以让他或她的电话看上去是从可信的公司或员工打来的，收账单的人也可以让他或她的电话看上去是从你的办公场所打来的。
想一下这意味着什么，计算机入侵者可以在家里打电话给你，声称自己是你公司的IT部门员工，然后说服务器崩溃了，他需要你的密码来恢复你的文件；或者电话上出现了你的银行或证券交易所的名字，一个声音甜美的女孩想确认一下你的账户号码和你妈妈的婚前姓，另外，因为系统出了一些问题，她还需要核对你的ATM PIN码；股票市场的证券欺诈经营者可以让他们的电话看上去是来自美林证券公司或花旗银行；某个想盗窃你身份的人可以从移民局打来电话，让你告诉他你的签证卡号；一个嫉恨你的家伙可以打来电话声称自己来自IRS（译者注：美国国税局）或FBI。
如果你通过一个电话系统连接上了一个初始速率接口（PRI），那么再加上一点点从系统供应商的网站上学到的编程知识，你就可以用这种方法和你的朋友开玩笑。认识的某个人有强烈的政治愿望？你可以把呼叫号码改成202…456…1414，这样他的来电显示就会出现“白宫”的名字。
他会认为自己接到了总统的电话！
这些故事要表达的意思很简单：不能信任来电显示，除非已经确认是内部号码。无论是在工作中还是在家里，每个人都需要知道这种骗局并意识到来电显示上出现的名字和电话号码是无法验证身份的。
米特尼克语录
下一次当你接到电话时，如果来电显示上的是你亲爱的老妈妈，谁知道啊——她可能是个年轻可爱的社会工程师。
无形的员工
雪莉o卡特拉斯（Shirley Cutlass）找到了一个新的令人激动的赚钱方法，告别长时间的既辛苦又乏味的工作，她加入到上百个侵淫此道数十年的行骗艺术家当中，成了一名身份窃贼。
现在她的目标是获取一家信用卡公司客户服务部门的机密信息，在常规的准备之后，她打到目标公司，告诉接线员她想要连线电信部门，然后她对电信部门的人说她想和语音信箱的管理员通话。
利用她之前搜集的信息，她自称为克里夫兰办公室的诺玛o托德（Norma Todd），现在你应该很熟悉这个骗局，她说她将在一周后前往公司总部，她需要一个这
