社会工程

出版者:人民邮电出版社

作者:海德纳吉 (Christopher Hadnagy)

页数:278

译者:陆道宏

出版时间:2013-12

价格:59.00元

装帧:平装

isbn号码:9787115335388

具体描述

本书首次从技术层面剖析和解密社会工程手法，从攻击者的视角详细介绍了社会工程的所有方面，包括诱导、伪装、心理影响和人际操纵等，并通过凯文 · 米特尼克等社会工程大师的真实故事和案例加以阐释，探讨了社会工程的奥秘。主要内容包括黑客、间谍和骗子所使用的欺骗手法，以及防止社会工程威胁的关键步骤。

本书适用于社会工程师、对社会工程及信息安全感兴趣的人。

作者简介

作者简介：

Christopher Hadnagy

世界上第一个社会工程框架（www.social-engineer.org）的主要开发者。与BackTrack（ www.backtrack-linux.org）安全团队一起参与了各种类型的安全项目，有16年以上的安全和信息技术实践经验。他也是主动式安全（Offensive Security）渗透测试小组的培训师和首席社会工程专家。

译者简介：

陆道宏

1995年毕业于华东理工大学计算机与科学系，获硕士学位，长期从事信息安全与计算机取证研究和开发工作。2004年，合伙创建盘石软件（上海）有限公司，领导开发了盘石计算机现场取证系统（SafeImager）、盘石速影网站猎手（SafeSite）等系列计算机取证专业工具。

杜娟

毕业于华东政法大学刑事司法学院计算机科学与技术专业。现就职于盘石软件（上海）有限公司计算机司法鉴定所，任职期间完成多起电子物证案件的鉴定，主导鉴定实验室通过国家认可委CNAS认证认可，为多个省部级单位做过电子数据取证的专业技术培训。

邱璟

计算机取证行业从事者，信息安全、计算机犯罪研究、计算机司法鉴定研究爱好者。毕业于华东政法大学刑事司法学院计算机科学与技术专业。现就职于盘石软件（上海）有限公司，专业从事计算机取证调查工作。

目录信息

第1章　社会工程学初探　　1
1.1 　为何本书很重要　　2
1.1.1 　本书框架　　3
1.1.2 　本书内容　　4
1.2 　社会工程概述　　7
1.2.1 　社会工程及其定位　　10
1.2.2 　社会工程人员的类型　　12
1.2.3 　社会工程的框架及其使用方法　　14
1.3 　小结　　15
第2章　信息收集　　16
2.1 　收集信息　　18
2.1.1 　使用BasKet　　18
2.1.2 　使用Dradis　　20
2.1.3 　像社会工程人员一样思考　　21
2.2 　信息源　　25
2.2.1 　从网站上收集信息　　25
2.2.2 　运用观察的力量　　29
2.2.3 　垃圾堆里找信息　　30
2.2.4 　运用分析软件　　31
2.3 　交流模型　　32
2.3.1 　交流模型及其根源　　34
2.3.2 　制定交流模型　　36
2.4 　交流模型的力量　　39
第3章　诱导　　41
3.1 　诱导的含义　　42
3.2 　诱导的目的　　44
3.2.1 　铺垫　　46
3.2.2 　成为成功的诱导者　　49
3.2.3 　提问的学问　　52
3.3 　精通诱导　　55
3.4 　小结　　57
第4章　伪装：如何成为任何人　　58
4.1 　什么是伪装　　59
4.2 　伪装的原则和计划阶段　　60
4.2.1 　调查越充分，成功的几率越大　　60
4.2.2 　植入个人爱好会提高成功率　　61
4.2.3 　练习方言或者表达方式　　63
4.2.4 　使用电话不会减少社会工程人员投入的精力　　64
4.2.5 　伪装越简单，成功率越高　　65
4.2.6 　伪装必须显得自然　　66
4.2.7 　为目标提供逻辑结论或下一步安排　　67
4.3 　成功的伪装　　68
4.3.1 　案例1：斯坦利?马克?瑞夫金　　68
4.3.2 　案例2：惠普　　70
4.3.3 　遵纪守法　　72
4.3.4 　其他伪装工具　　73
4.4 　小结　　74
第5章　心理战术：社会工程心理学　　75
5.1 　思维模式　　76
5.1.1 　感官　　77
5.1.2 　3种主要的思维模式　　77
5.2 　微表情　　81
5.2.1 　愤怒　　83
5.2.2 　厌恶　　85
5.2.3 　轻蔑　　87
5.2.4 　恐惧　　89
5.2.5 　惊讶　　91
5.2.6 　悲伤　　92
5.2.7 　快乐　　95
5.2.8 　训练自己识别微表情　　97
5.2.9 　社会工程人员如何运用微表情　　99
5.3 　神经语言程序学　　103
5.3.1 　神经语言程序学的历史　　104
5.3.2 　神经语言程序学的准则　　105
5.3.3 　社会工程人员如何应用NLP　　106
5.4 　采访和审讯　　109
5.4.1 　专业的审讯技巧　　110
5.4.2 　手势　　116
5.4.3 　双臂和手的摆放　　118
5.4.4 　聆听：通往成功之门　　119
5.5 　即刻达成共识　　123
5.5.1 　真正地想要了解他人　　123
5.5.2 　注意自身形象　　123
5.5.3 　善于聆听　　124
5.5.4 　留心自己对他人的影响　　124
5.5.5 　尽量少谈论自己　　125
5.5.6 　谨记：同情心是达成共识的关键　　125
5.5.7 　扩大知识领域　　126
5.5.8 　挖掘你的好奇心　　126
5.5.9 　设法满足他人的需求　　127
5.5.10 　使用其他建立共识的技巧　　129
5.5.11 　测试“共识”　　130
5.6 　人类思维缓冲区溢出　　131
5.6.1 　设定最基本的原则　　132
5.6.2 　人性操作系统的模糊测试　　133
5.6.3 　嵌入式指令的规则　　134
5.7 　小结　　135
第6章　影响：说服的力量　　137
6.1 　影响和说服的5项基本原则　　138
6.1.1 　心中有明确的目标　　138
6.1.2 　共识、共识、共识　　139
6.1.3 　保持自身和环境一致　　141
6.1.4 　不要疯狂，要灵活应变　　141
6.1.5 　内省　　141
6.2 　影响战术　　142
6.2.1 　回报　　142
6.2.2 　义务　　145
6.2.3 　让步　　147
6.2.4 　稀缺　　148
6.2.5 　权威　　151
6.2.6 　承诺和一致性　　153
6.2.7 　喜欢　　157
6.2.8 　共识或社会认同　　159
6.3 　改动现实：框架　　163
6.3.1 　政治活动　　163
6.3.2 　在日常生活中使用框架　　164
6.3.3 　框架联盟的4种类型　　168
6.3.4 　社会工程人员如何利用框架战术　　172
6.4 　操纵：控制你的目标　　177
6.4.1 　召回还是不召回　　179
6.4.2 　焦虑的最终治愈　　180
6.4.3 　你不能让我买那个　　181
6.4.4 　令目标积极地响应　　184
6.4.5 　操纵激励　　185
6.5 　社会工程中的操纵　　189
6.5.1 　提高目标的暗示感受性　　189
6.5.2 　控制目标的环境　　190
6.5.3 　迫使目标重新评估　　190
6.5.4 　让目标感到无能为力　　191
6.5.5 　给予非肉体惩罚　　192
6.5.6 　威胁目标　　192
6.5.7 　使用积极的操纵　　193
6.6 　小结　　195
第7章　社会工程工具　　197
7.1 　物理工具　　198
7.1.1 　开锁器　　198
7.1.2 　摄像机和录音设备　　204
7.1.3 　使用GPS跟踪器　　207
7.2 　在线信息收集工具　　214
7.2.1 　Maltego　　214
7.2.2 　社会工程人员工具包　　216
7.2.3 　基于电话的工具　　221
7.2.4 　密码分析工具　　224
7.3 　小结　　228
第8章　案例研究：剖析社会工程人员　　229
8.1 　米特尼克案例1：攻击DMV　　230
8.1.1 　目标　　230
8.1.2 　故事　　230
8.1.3 　社会工程框架的运用　　233
8.2 　米特尼克案例2：攻击美国社会保障局　　235
8.2.1 　目标　　235
8.2.2 　故事　　235
8.2.3 　社会工程框架的运用　　237
8.3 　海德纳吉案例1：自负的CEO　　238
8.3.1 　目标　　238
8.3.2 　故事　　239
8.3.3 　社会工程框架的运用　　243
8.4 　海德纳吉案例2：主题乐园丑闻　　244
8.4.1 　目标　　244
8.4.2 　故事　　245
8.4.3 　社会工程框架的运用　　247
8.5 　最高机密案例1：不可能的使命　　248
8.5.1 　目标　　248
8.5.2 　故事　　249
8.5.3 　社会工程框架的运用　　253
8.6 　最高机密案例2：对黑客的社会工程　　254
8.6.1 　目标　　254
8.6.2 　故事　　255
8.6.3 　社会工程框架的运用　　260
8.7 　案例学习的重要性　　261
8.8 　小结　　261
第9章　预防和补救　　262
9.1 　学会识别社会工程攻击　　263
9.2 　创建具有个人安全意识的文化　　264
9.3 　充分认识信息的价值　　266
9.4 　及时更新软件　　268
9.5 　编制参考指南　　269
9.6 　学习社会工程审计案例　　269
9.6.1 　理解什么是社会安全审计　　269
9.6.2 　设立审计目标　　270
9.6.3 　审计中的可为与不可为　　271
9.6.4 　挑选最好的审计人员　　272
9.7 　总结　　273
9.7.1 　社会工程并非总是消极的　　273
9.7.2 　收集与组织信息的重要性　　274
9.7.3 　谨慎用词　　274
9.7.4 　巧妙伪装　　275
9.7.5 　练习解读表情　　276
9.7.6 　操纵与影响　　276
9.7.7 　警惕恶意策略　　276
9.7.8 　利用你的恐惧　　277
9.8 　小结　　278
· · · · · · (收起)

读后感

估计看到这个书名的时候，你肯定跟我一样，首先想的是社会工程是啥子玩意，然后看到了副标题里的安全体系。脑袋里默默的把安全体系和工程联系起来，做出了判断，八九不离十肯定是码农的书，指导怎么做杀毒软件防火墙的吧。 但是那就错了，这本书跟安全软件工程尽管不能说没有一...

估计看到这个书名的时候，你肯定跟我一样，首先想的是社会工程是啥子玩意，然后看到了副标题里的安全体系。脑袋里默默的把安全体系和工程联系起来，做出了判断，八九不离十肯定是码农的书，指导怎么做杀毒软件防火墙的吧。 但是那就错了，这本书跟安全软件工程尽管不能说没有一...

估计看到这个书名的时候，你肯定跟我一样，首先想的是社会工程是啥子玩意，然后看到了副标题里的安全体系。脑袋里默默的把安全体系和工程联系起来，做出了判断，八九不离十肯定是码农的书，指导怎么做杀毒软件防火墙的吧。 但是那就错了，这本书跟安全软件工程尽管不能说没有一...

估计看到这个书名的时候，你肯定跟我一样，首先想的是社会工程是啥子玩意，然后看到了副标题里的安全体系。脑袋里默默的把安全体系和工程联系起来，做出了判断，八九不离十肯定是码农的书，指导怎么做杀毒软件防火墙的吧。 但是那就错了，这本书跟安全软件工程尽管不能说没有一...

估计看到这个书名的时候，你肯定跟我一样，首先想的是社会工程是啥子玩意，然后看到了副标题里的安全体系。脑袋里默默的把安全体系和工程联系起来，做出了判断，八九不离十肯定是码农的书，指导怎么做杀毒软件防火墙的吧。 但是那就错了，这本书跟安全软件工程尽管不能说没有一...

用户评价

这本书给我的感受是，它是一部关于“沟通艺术”的终极反面教材，或者说，它揭示了沟通中最隐蔽的权力结构。作者的文字功底极深，他运用了大量的对比手法，将“真诚沟通”与“操纵性沟通”在表层特征上的相似性描绘得入木三分。让我深感震撼的是书中对“信息饥渴”的利用。在信息爆炸的今天，人们对“独家内幕”和“快速解决”的渴望，是社会工程师们最主要的燃料。作者通过对几个知名企业间谍事件的解构，展示了如何利用目标对象渴望成为“内部人士”或“解决问题的人”的心理，来绕过标准的审查流程。这本书的语言风格极其富有画面感，读起来不像在看理论，而更像在观看一部高智商犯罪电影的幕后解析。它最大的贡献在于，它将那些分散的、零星的社会工程技巧，系统性地整合进一个基于人类基本需求和恐惧的宏大框架中。这迫使读者必须正视：在信息交换的任何环节，都存在着被设计和引导的可能。这是一本需要反复品读的书，每次重读，都会在不同的认知阶段，挖掘出新的深层含义。

这本**《社会工程》**给我带来了极其深刻的震撼，远超我对于一本技术类书籍的预期。我原以为它会是一本枯燥的、充斥着各种技术术语和黑客手法的指南，但事实并非如此。作者的叙事方式非常引人入胜，他没有直接把各种“招数”罗列出来，而是通过一系列环环相扣的案例分析，构建了一个庞大而精密的心理博弈场。阅读过程中，我感觉自己像一个卧底特工，穿梭在各种看似寻常的场景中，观察着人性的弱点是如何被精准地利用。尤其让我印象深刻的是，书中对“信任”这一核心概念的剖析。作者深入探讨了人类在信息不对称环境下的默认信任机制，并展示了高明的社会工程师如何利用这种机制，将谎言包装成无可辩驳的“事实”。书中对非语言信号的解读部分，简直是一本微表情学的入门教科书，它教会了我如何从细微的肢体动作和眼神交流中捕捉到那些潜藏的真实意图。这本书的价值不在于教你如何去欺骗，而在于让你清晰地认识到，在数字信息泛滥的时代，保护自身信息安全的第一道防线，永远是建立在对人性的深刻理解之上。它强迫我以一种批判性的眼光重新审视日常的人际交往，那种醍醐灌顶的感觉，是其他任何安全书籍都无法给予的。

翻开这册书的时候，我的心情是有些忐忑的，毕竟“社会工程”这个词本身就带有强烈的负面色彩。然而，读完之后，我发现这更像是一部关于人类行为心理学的深度田野调查报告，而不是一本教唆犯罪的手册。这本书的行文风格非常冷静、客观，它像一个冷峻的解剖刀，将人类决策过程中的非理性因素层层剥离。让我感到耳目一新的是它对“预设框架”的论述。作者详细阐述了情境设置对后续行为选择的决定性影响，比如通过环境的布置、特定称谓的使用，如何潜移默化地将目标对象置于一个有利于操作者的思维定势中。这种对环境控制的强调，远远超越了传统的“钓鱼”或“诱骗”范畴，它指向的是一种系统性的、对人脑认知偏差的系统性利用。书中穿插的几个历史案例，例如对某个大型组织内部信息泄露事件的还原，逻辑链条之严密，让我不禁赞叹其背后的策划者是何等心思缜密。读罢，我深刻体会到，真正的社会工程大师，他们贩卖的不是信息，而是认知上的“顺从感”和“安全感”。这本书无疑拓宽了我对“安全”二字的理解边界，它让我明白，技术防护再坚固，也比不上一个被轻易说服的“人”。

阅读这本书的过程，对我来说，更像是一场对自我心理防御机制的“压力测试”。它不是那种读完后你会信心倍增的书，相反，它会让你产生一种清醒的焦虑感——你知道了危险的来源，却发现清除它异常困难。这本书最让我叹服的是其对“反馈循环”的解析。它详细说明了如何通过微小的试探性行为，逐步获取目标对象的信任度，并根据反馈调整后续策略，形成一个不断强化的正反馈回路，直至最终目标达成。这种动态的、适应性极强的操作模型，远比那些预设脚本要高明得多。书中的某些章节，几乎是在描述一场精心编排的心理话剧，从开场白的选择、到中间情绪的调动，再到最后的收网，每一步都遵循着一套隐晦的心理学规律。我特别欣赏作者对于道德边界的探讨。他没有简单地将所有行为定性为“好”或“坏”，而是置于情境之中去分析，这使得这本书的讨论层面上升到了伦理思辨的高度。读完后，我不再仅仅关注技术防范，而是开始关注组织文化中是否存在“流程僵化”或“过度依赖权威”的问题，因为这些才是滋生社会工程的温床。

坦白讲，我一开始对这种题材的书籍抱持着一种怀疑态度，认为它无非是把互联网上流传的那些老掉牙的“技巧”重新包装一下。可我错了，这本书的学术深度和实践广度，完全不是那种“花架子”能比拟的。这本书的结构设计非常巧妙，它并非按时间线或主题分类，而是根据操作对象（例如：技术人员、高层管理者、普通员工）的心理画像，划分了不同的攻防策略。这种“因人而异”的分析方法，极具操作性。特别是书中对“权威性误区”的分析，简直是神来之笔。作者用大量的实验数据证明，当个体面对被包装成“官方”或“专业人士”的信号时，其自我判断的能力会急剧下降。这种对人类对符号和角色的天然敬畏感，被描述得淋漓尽致。此外，书中对于“拒绝”这一行为的心理障碍也有独到的见解，它解释了为什么人们在面对直接要求时反而更容易拒绝，而在面对一个“半成品”或“请求帮助”时却更容易妥协。这本书的语言风格是那种严谨中带着犀利的风格，它不煽情，不危言耸听，只是冷静地陈述一个残酷的现实：你的认知习惯，可能就是你最大的漏洞。

:无

没J8卵用

有许多经典案例，恍惚中觉得像是在教新闻采写——怎样快速与人建立联系和信任。

哈哈哈哈这书好呆萌啊 怎么能叫计算机书呢 根本就是 技术人员会演戏 什么安全系统都拦不住……虽然废话略多……

有许多经典案例，恍惚中觉得像是在教新闻采写——怎样快速与人建立联系和信任。