《网络攻防技术（第2版）》 —2.2.5　***息收集方法的应用

2.2.5　***息收集方法的应用

攻击者进行信息收集时，除了通过技术手段了解目标主机或目标网络的状况外，还常常从获取关键人物的个人信息入手，按图索骥展开攻击活动。

一般来说，对目标主机或目标网络有访问权或控制权的用户以及攻击者认为有利可图的人，都是攻击者关注的对象。攻击者会从同学录、论坛、聊天室等公开渠道收集他们的邮箱、工作单位、工作性质、发表的言论、简历等并加以整理。收集和出卖网上个人数据已经变成一个利润丰厚的产业，这些数据很有可能被多次重复利用和倒卖，给不法分子使用社会工程学进行欺诈提供了可乘之机，同时也为一些攻击行为提供“素材”。

下面就来介绍攻击者使用公开渠道获取个人信息的常用方法，用户应提高警惕，以免从这些渠道泄露个人信息。

1. 从同学录中寻找目标

很多网站都建有同学录，不少人会在同学录上找到失散多年的老同学，因此同学录已经成为很多人在网上必浏览的内容之一。

但是，同学录在方便大家的同时也被一些攻击者“盯梢”了。他们通过收集、整理同学录里的个人信息，寻找特定目标的电话、Email、工作单位甚至家庭住址。一旦觉得有利可图，就会利用Email地址，通过邮件攻击等手段对目标实施“精确打击”，远程控制目标机器，窃取其上的重要资料。此外，攻击者还会利用其他同学对被攻击者的信任，对其他同学实施攻击，防不胜防。

另外， 同学录作为同学之间沟通交流的公开平台，无法对加入者的真实身份进行审核，只要注册一个账号，就可以访问大多数班级同学录的留言板，同学们在其中发表的言论也就一览无余了。通过掌握这些信息，攻击者可以使用社会工程学等方法骗取重要信息。

2. 在论坛、聊天室设“***”陷阱

互联网上的论坛、聊天室非常受欢迎，大多数人以为在虚拟空间里别人不知道他的真实身份，便在其中畅所欲言，殊不知这种不设防的状态给有所图的人提供了刺探用户个人隐私甚至情报的极好机会。实际上，论坛聊天室里面潜伏着“***者”，他们预先设置了“诱饵”，诱惑用户上钩。下面是几种常用的“***”方法。

（1）抛出敏感话题

在网上聊天中，一些攻击者故意抛出敏感话题，引诱网民参与讨论，以达到套取重要信息的目的。比如，想要收集目标网络的情况，攻击者可能会在论坛里发帖说某网络如何不堪一击，这时会有人跟帖反驳说该网络防护如何严密、已采用什么样的安全策略等。以这些回帖为参考，攻击者很轻易地就能得到有价值的信息。

（2）定位关键人物

如果用户经常发表与某敏感主题（如炒股）相关的帖子，或者在聊天室谈论的话题大量涉及某敏感主题，甚至带点“独家爆料”的色彩，那么很有可能被攻击者“定位”。进而，攻击者根据用户登录论坛、聊天室的ID号，对用户上网的行为实施跟踪或根据用户暴露出的IP地址和邮箱信息对用户的计算机实施攻击，直接从用户的机器上获取有价值的信息。

（3）设置恶意链接

攻击者在论坛、聊天室里发布一些容易引起关注的图片或链接，并在图片中嵌入木马，或者发布一些预先“埋伏”了木马程序的网页链接，只要一点鼠标，木马程序就会在用户的机器上被激活。

3.通过简历收集信息

互联网的网上招聘确实方便了许多求职者，但关注简历的人绝不仅仅是招聘单位，居心叵测的攻击者也希望从中获利。个人简历中一旦留下敏感信息，就很有可能在不知不觉中被攻击者“重点”关注。有些工程技术人员为提高就业竞争力，在第一时间给用人单位留下深刻印象，会精心制作求职简历。在求职简历中附带自己曾经规划的网络结构图、撰写的关于网络维护方面的论文、曾经参与过的重大科研项目的详细情况等，攻击者只要稍作分析就可以从中提取到一些重要信息。

当攻击者通过网络收集个人信息时，如果发现用户的身份比较特殊，有可能掌握着关键信息，他们很可能通过发送攻击邮件攻入用户的计算机，进一步查找秘密信息。而攻击邮件的内容通常是他们费尽心思为用户量身定制的。他们会从校友录、聊天室、论坛等公开渠道获取信息，编造具有欺骗性的邮件（如 “我最近的照片”“同学最新的联系方式”），同时在附件中夹带木马程序，并以用户熟识的人的身份发送给用户，这种信件具有迷惑性，难辨真伪，而用户一旦中招，将造成无法估量的损失。

4. 利用搜索引擎进行数据挖掘

对大多数网民来说，搜索引擎早已成为上网离不开的工具，但是，在用户使用它的同时，它也在记录着用户的所有活动，比如用户的IP地址、搜索的关键词以及从搜索结果中跳转到哪个网站等信息。随着用户的网上购物行为、个人信息和兴趣爱好等大量资料被倾泻到互联网上，搜索引擎能收集的东西越来越多，通过数据挖掘等技术，只要攻击者“有心”，而且具备一定的搜索技巧和足够的耐心，就可以利用搜索引擎轻松地从合法的免费资源库上获取大量重要信息，并且通过拼凑这些蛛丝马迹分析出用户的身份、爱好、职业，甚至更多的隐私信息。

5. 网站出售注册信息

用户在网站上注册时，难免会填写一些个人资料（如姓名、身份证号码、电子信箱地址、信用卡号码），虽然多数网站声称绝对为网民保密，并不将个人信息提供给任何“第三者”，但仍有个别网站贪图不义之财，把用户资料出售给第三者。而对个人隐私材料的搜集也越来越变成一种有利可图的事情，姓名、年龄、学历、职业、收入、身份证号码等个人隐私都可能成为有价值的商业信息。对商家来说，这些信息谁掌握得越多，谁就拥有更多的潜在消费者，因此他们不惜通过种种手段来窃取或购买他人的个人资料和隐私。至于从事信息服务的经营者，更是不遗余力地收集包括个人信息在内的各种信息。这也就是为什么很多网民注册了自己的信息后，会莫名其妙地接到推销保险的电话、收到邮寄的广告、在电子信箱里看到数不清的垃圾邮件。