社工信息收集技巧
简介
社会工程学(Social Engineering)信息收集是通过人际交往和心理技巧获取目标信息的方法。相比于技术手段，社工往往能获取更深层次和更敏感的信息，是渗透测试中不可或缺的一环。掌握社工信息收集技巧对于安全研究人员和渗透测试人员具有重要意义。本文将介绍通过社交工程学方法收集目标信息的技巧。
社工信息收集类型
- 人员信息收集
- 员工姓名、职位、联系方式
- 组织架构和部门信息
- 员工社交媒体账号
- 工作习惯和日常活动
- 技术信息收集
- 内部系统和网络信息
- 安全防护措施和策略
- 使用的软硬件产品
- 安全意识培训情况
- 物理信息收集
- 办公场所布局和安全措施
- 出入管理制度
- 设备和资产分布
- 访客和承包商管理
信息收集渠道
- 公开信息源
- 公司官网和新闻稿
- 招聘信息和职位描述
- 年报和财务报告
- 技术文档和白皮书
- 社交媒体
- LinkedIn职业社交平台
- 微博、微信等社交网络
- 技术论坛和社区
- 个人博客和分享
- 互动收集
- 电话沟通和询问
- 面对面交流
- 邮件和即时通讯
- 参与会议和活动
社工技巧和方法
- 信息伪装
- 构建合理的身份背景
- 准备相关领域的知识
- 使用适当的沟通方式
- 避免引起怀疑和警觉
- 心理技巧
- 建立信任和友好关系
- 利用权威和紧迫感
- 运用同理心和共鸣
- 处理拒绝和质疑
- 信息验证
- 交叉验证获取的信息
- 识别信息的准确性
- 更新和补充信息
- 整理和分析信息
道德和法律考虑
- 仅在授权范围内进行测试
- 遵守相关法律法规
- 保护获取的敏感信息
- 避免对目标造成干扰
- 及时报告发现的问题