欺骗的艺术 作者: 美 凯文·米特尼克-第17部分

按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！


　　但是他拒绝帮忙似乎并没有让她吃惊。她说她认为一些事情他无论如何也办不到。那可能是个挑战，因为他当然确定他能办得到，那是他同意的理由。
　　艾丽丝拿出了一份关于一家交易公司的一些顾问工作的合同，但是这份合同的条款似乎不是很好。在她回去请求获得更好的待遇以前，她想要知道其他顾问他们的合同条款都有些什么。
　　下面是彼得讲述这个故事。
　　当我知道它很容易时，我不想告诉艾丽丝任何事情除了我可以做到人们认为我做不到的事情。好的，不容易，准确点，这次不容易，要做一系列的事情，但是还好。
　　我要给她展示这真实的一切，多潇洒。
　　星期一早上7：30之后一点点，我打电话给交易公司办公室并联系上了接待员，说我是这家公司处理他们退休金计划的人，想要和会计公司的人谈话。她有没有注意到会计公司的人还没有上班？她说：“我想我几分钟之前见到过玛丽，我帮你联系她。”
　　当玛丽拿起电话时，我告诉她关于电脑故障的一些故事，那让她有些神经过敏，所以她很高兴的合作了。当我告诉她怎样修改她的密码时，我用同样的临时密码（我要她使用的：test123）快速登陆了系统。
　　进入并掌握了这里——我安装了一个小型程序允许我无论何时只要我想要就能访问这家公司的电脑系统，使用了一个我自己的秘密的密码。当我挂断玛丽的电话时，我的第一个步骤是清除登陆纪录，这样就没有人知道我曾经登陆过他（或她）的系统。这很容易。在我提升了我的系统权限之后，我下载了一个叫做clearlogs的免费的程序，我是在一个安全类的网站ntsecurity。nu找到它的。
　　到真正的工作时间了。我在所有文件里查找文件名带有“contract（译者注：合同）”关键字的文件，然后把它下载下来。我还在根目录里找到了更多——这些目录里包含了所有的顾问工资报告。所以我整理了所有的合同文件和一张工资清单。
　　艾丽丝可以细读这些合同看他们支付多少钱给其他顾问。让她辛苦地细读所有这些文件吧，我做到了她要我做的。
　　从我存放这些数据的磁盘里，我打印了一些文件当作证据给她看。我要她和我约会并请我吃午饭，当她翻阅这一堆纸时你可以看见她的表情。“没门，”她说，“决不。”
　　我没有拿出这些磁盘，它们是诱饵。我说过她不得不过来拿，希望也许她会对我的帮助表示感谢。
　　米特尼克信箱
　　那很令人惊讶，基于那些精心构造的请求社会工程师可以轻易地让人们帮他做事。前提是引起基于心理作用的自动回应，依赖于当他们觉得这个打电话的人是盟友时人们心理的捷径。
　　过程分析
　　彼得打给交易公司的电话表现的是社会工程学攻击的最基本的形式——一个简单的尝试只需要一点点准备，首次尝试的工作，只用几分钟就能完成。
　　甚至更好，玛丽，这个受害人，没有认为那是一些对她的欺骗或诡计，没有提交报告或引起骚动。
　　彼得的计划使用了三种社会工程学策略。首先他让玛丽因为害怕而合作——让她认为她的电脑不能用了。然后他花时间让她打开了两个应用程序，这样她确定了她的电脑工作正常，让他们之间的好感增加了，感觉有了同盟一样。最终，他按照计划的一部分利用她的感激（他帮助她确认了她的电脑工作正常）让她进一步地合作。
　　通过告诉她在任何时候都不能说出她的密码，甚至不能告诉他，彼得彻底地完成了这一微妙的工作，让她觉得他是在关心她的公司文件的安全。这促进了她的信心，他肯定是合法的因为他在保护她和她的公司。
　　警察的搜捕行动
　　描绘一下这样的情景：政府为一个叫做阿图若·森彻（Arturo　Sanchez）的人设置了陷阱，他在互联网上免费发布电影。好莱坞制片厂说他侵犯了他们的版权，他说他只是推动他们承认一个不可以避免的交易方式，所以他们开始做些事情让新电影可以免费下载。他指出（正确地）这是电影公司完全忽视的巨大的收入来源。
　　搜索证，谢谢
　　一天晚上回家迟了，他穿过街道查看了一下他家的窗户并注意到灯灭了，即使他出去时也总是会留下一盏灯。
　　他用力敲着邻居家的门直到他把这个人叫醒了，然后了解到确实有警察搜索了这座建筑。但是他们让邻居们待在楼下，所以他不能确定他们进入了哪个房间，他只知道他们离开时带走了一些很重的东西，可是他们把它掩盖了起来，他也说不出那些是什么，他们没有逮捕任何人。
　　阿图若检查了他的房间，坏消息是警察留下了一张纸条要求他马上打电话在三天之内确定一次会面，更坏的消息是他的电脑不见了。
　　阿图若这天晚上消失了，他和一个朋友待在一起。但是一些不确定的东西困扰着他，警察知道了多少？他们最后会不会逮捕他，不给他任何逃走的机会？或者也不完全是这样，他可以解决这些事情而不用离开这里？
　　在你继续阅读之前，停下来思考几分钟：你能想象出任何途径去找出警察知道你的哪些事情吗？傲慢的你没有任何政治上的联系或有朋友在警察局或司法办公室，你可以想象任何途径，像一个普通公民一样，去获得这些信息吗？或者那只有一些有社会工程学技巧的人才能做到？
　　警察的故事
　　阿图若对他需要知道的感到满意，像这些：开始是，他拿到附近复印店的电话号码，打电话给他们请求使用他们的传真号码。然后他打电话给检察官办公室，找档案室。当他联系上档案办公室时，他介绍他自己是莱克镇的警官，说他需要和归档现行搜查证的办事员谈话。
　　“可以。”那位女士说。
　　“噢，好极了，”他回答，“因为我们昨晚搜捕了一个嫌疑犯，我想要了解宣誓书的位置。”
　　“我们用他们的地址归档。”她告诉他。
　　他说出了他的地址，她的声音几乎有些激动。“噢，是的，”她吐着泡沫，“我知道这个，‘版权侵犯’。”
　　“就是这个，”他说，“我在寻找宣誓书和许可证的副本。”
　　“哦，我这里正好有。”
　　“好极了，”他说，“听着，我现在在外面，有一个关于这件案子的秘密服务的十五分钟会议。我最近有点恍惚，把文件留在了家里，这里没有那些文件并且来不及回去拿了。我可以从你那里拿到副件吗？”
　　“当然，没问题。我把它复制一份，你可以到这里来拿它们。”
　　“好极了，”他说，“那真好。但是听着，我在镇子的另一边，你可以把它们传真给我吗？”
　　有了一个小麻烦，但是可以克服。“我们档案室没有传真机，”她说，“但是楼下的职员办公室有，他们可以让我用。”
　　他说：“我打电话到职员办公室问问看。”
　　职员办公室的女士说她乐意帮忙但是想要知道“谁来付钱？”，她需要知道账户代码。
　　“我拿到代码后再打电话给你。”他告诉她。
　　　然后他打电话给DA办公室，再一次伪装成警官简单地询问了一下接线员，“DA办公室的账户代码是多少？”
　　没有丝毫犹豫，她告诉了他。
　　他打电话回职员办公室，提供了账户代码，原谅他进一步利用了这位女士：他要她上楼去拿那些副件来传真。
　　注意
　　使用那些对他的攻击有用的东西例如电话和电脑，一个社会工程师怎样知道那么多操作的详细资料，来自警察部门、司法办公室、电话公司和特殊的公司机构？因为把它找出来就是他的生意，这些知识是一个社会工程师在交易中的库存，因为信息可以在他的行骗中帮助他。
　　掩盖足迹
　　阿图若还有其它组合的步骤去拿传真。总是有可能被人察觉到一些异样，他可能会在复印店发现几个侦探，他们随意地说着话，看上去很忙碌直到有人露面拿那个特殊的传真。他等待了一会儿，然后打电话回职员办公室确认那位女士已经发送了传真。到目前为止一切都很好。
　　他打电话给镇子对面的另一家连锁复印店，略施小计，“我对你的工作处理很满意，想写一封信给经理表示祝贺，她的名字是？”　有了这一基本信息，他又打电话给第一个复印店说他想和经理说话。当那个人拿起电话时，阿图若说：“你好，我是哈特菲尔德628店的爱德华（Edward）。我的经理安娜（Anna）要我打电话给你。我们有一个心烦意乱的顾客——有人把错误的复印店传真号码给了他，他在这里等一个重要的传真，可是他拿到的这个号码是你们复印店的。”这位经理答应马上叫一个人把这份传真发到哈特菲尔德的复印店。
　　当传真到了第二家复印店时阿图若早已经等在那里，他一把它拿到手，就打电话回职员办公室对那位女士表示感谢，还有“没必要把那些副件送回楼上了，你现在就可以把它们扔了。”然后他打电话给第一家复印店的经理，也告诉他把那些传真副件扔了。这样这里发生的事情就不会有任何纪录，只是有个人稍后回来问了些问题。社会工程师知道你决不会很细心的。
　　计划的这些方法，阿图若不需要支付第一家复印店收这些传真再把它发给第二家复印店的钱，并且如果露馅了警察先会找到第一家复印店，当他们安排去第二家复印店抓人时阿图若早已经拿到了他的传真。
　　故事的最后：宣誓书和许可证上显示警察已经有了阿图若盗版电影行为的充分证据。这就是他想要知道的。当天晚上，他穿过了州界线。阿图若开始了新的生活，在别的地方有了新的身份，准备再次开始他的活动。
　　过程分析
　　在任何检查官办公室工作的人，无论在哪里，总是免不了和执法部门的工作人员联系——回答问题、做好安排、获得讯息。任何足够勇敢的人都可以打电话声称自己是一名警官、代理州长或者任何由他的语言来决定的角色。除非他很明显不了解术语，或者他有些神经紧张结结巴巴地结束他的话，或者用一些听上去不可信的方法，他可能甚至不会被问一个问题确定他的身份。那确实发生在这里，和两个不同的工作人员。
　　米特尼克信箱
　　问题的实质是没有人会对一个优秀社会工程师的欺骗免疫。因为普通生活的节奏，我们并不经常有时间深思熟虑再作出判断，甚至事实上那对我们很重要。复杂的情形，缺乏的时间，情绪的波动，或者精神的疲劳，都可以轻易地使我们分心。所以我们使用了心理捷径，没有经过谨慎和全面的分析就作出判断，一个知名的心理作用，像自动应答一样。联邦、州、本地执法部门办公室这些都是真的。我们是所有人。
　　通过一个简单的电话就可以获得一个必需的支付代码，然后阿图若用一个故事打出了同情牌，“有一个关于这件案子的秘密服务的十五分钟会议，我有点心不在焉，把文件忘在了家里。”她自然对他这件事感到遗憾，然后偏离了她的职责去帮忙。
　　然后通过利用不是一个而是两个复印店，阿图若去拿那份传真时他让自己非常安全。进行传真时这里的一个变化让追踪足迹更加困难：代替把这些文件发给另一家复印店，攻击者可以给一个公开的传真号码，通过一个真实的地址在因特网上的免费服务将你收到的传真自动转发到你的邮箱地址里，他不会在任何地方露脸，没有人会认出他，邮箱地址和电子传真号码在完成任务后就可以扔了。
　　转换表格
　　一个我叫他迈克尔·帕克（Michael　Parker）的年轻人，他是较晚完成better…paying论文的人之一，那通常是和大学学位挂钩的。他有一个机会参加一个本地大学的部分奖学金加教育贷款活动，但是那意味着要在晚上和周末工作才能支付他的租金、食物、汽油和汽车保险。迈克尔总是喜欢去找捷径，认为也许有另外的方法，一个只需要少量的努力就可以不用付钱的更快的方法。因为他从十岁第一次玩电脑时就开始学习计算机了，他着迷于发现它们是怎样工作的，他确信能更快看见自己的计算机科学学士学位，如果他可以“制造”它的话。
　　毕业生——没有荣誉
　　他可以入侵州立大学的计算机系统，找到成绩为B＋优秀或平均为A…毕业的人的档案，复制，然后加入他自己的名字，把它添加到当年毕业班的档案里。通过思考这些，不知道怎么了他有些担心这个主意，然后他认识到肯定还有其它的在校生档案——学费支付档案，住房分配办公室，还有那些知道