电子邮件工程学防范探讨

1、电子邮件工程学防范探讨 作者：陈小兵 钱伟 单位：北京市公安局网络安全保卫总队 信息网络安全公安部重点实验室 1社会工程学 社会工程学攻击就是利用人们的心理特征，骗取用户的信任，获取机密信息、系统信息等不公开资料，为黑客攻击和病毒感染创造有利条件。网络安全技术发展到一定程度后，起决定因素的不再是技术问题，而是人和管理。网络安全往往容易被入侵者从内部攻破，而利用社会工程学进行网络攻击，有点像电影或者小说中的“卧底”，在获取足够有用的信息后，成功攻破网络。由于安全产品的技术越来越完善，使用这些技术的人，就成为整个环节上最为脆弱的部分，加之人具有贪婪、自私、好奇、不信任等心理弱点，因此通过一些方法，

2、入侵者就可以从相关人员那里获取入侵所需信息。一旦掌握了社会工程学理论，可以获取正常的访问权限，再结合一些网络攻击手段，可以很容易地攻破一个网络。近年来，社会工程学攻击呈现迅速上升甚至滥用的趋势3，在病毒的扩展和传播过程中发挥了巨大的作用，例如qq尾巴病毒、爱虫蠕虫病毒、msn病毒以及钓鱼攻击4等。运用社会工程学进行网络攻击可以使网络攻击者不需要付出很大的代价,就可以达到他们所想要达到的目的,所以被越来越多的攻击者所青睐。 1.1常见的电子邮件社会工程学攻击方法通过电子邮件进行攻击的常见手法主要有五种方法，即伪造邮件地址或者信任关系攻击、人性心理弱点攻击、恶意攻击、0day攻击和跨站攻击。 1.

3、1.1伪造邮件地址或者信任关系攻击伪造攻击主要是通过事先收集被攻击对象的各种信息，特别是有电子邮件往来的各种信息收集，通过假冒“信任”的联系人向被攻击对象发送邮件，被攻击者收到邮件后，不加怀疑地直接打开邮件附件，或者回复攻击者息。伪造邮件攻击需要构造发件人地址，目前网上有一些邮件发送工具，通过简单的设置即可发送邮件，收件人收到伪造的邮件与真实邮件并无太多区别，普通用户很难防范。 1.1.2人性心理弱点攻击心理弱点攻击是电子邮件社会工程学攻击的最主要手法之一，该攻击方法利用邮件携带恶意程序或恶意链接进行攻击，运用各种人性弱点吸引使用者开启有问题信件，例如关心的时事、天上掉下来的礼物等。 1.1.

4、3恶意攻击攻击者发送捆绑木马程序的附件或者链接地址，而链接地址往往带有挂马功能，用户打开附件或者访问恶意构建的网页都会感染病毒。 1.1.40day攻击软件都可能存在有漏洞，不及时修补的话，就有可能被利用而遭到入侵，在软件漏洞未修补前，出现的针对该漏洞的攻击行为，即称为零时差攻击（0day攻击）5。在软件漏洞更新补丁程序发布后的n天，利用用户未及时修补的软件漏洞进行的攻击，称之为nday攻击。0day攻击是最难防范的攻击，攻击者通过0day交易渠道或者自己挖掘0day，掌握了一些文件格式的未公开漏洞，例如office系列、pdf系列、flash系列、ie等，通过0day漏洞利用工具，将木马跟0

5、day漏洞捆绑在一起，生成一个正常格式的文件，被攻击者打开邮件中的文件后即被感染木马或者执行指定可执行文件。0day攻击方法是最具有杀伤力的，而nday攻击可以通过给攻击程序进行免杀处理后，对用户进行攻击。 1.1.5邮件跨站攻击跨站攻击（crosssitescriptexecution，简称xss）是指攻击者利用网站程序对用户输入审查不足，输入可以显示在页面上对其他用户造成影响的html代码，从而盗取用户资料，利用用户身份对访问者进行病毒侵害的一种攻击方式。跨站攻击是电子邮件攻击中威力最大的一种攻击。攻击者通过对被攻击者电子邮箱服务器所使用的系统进行研究，发现电子邮件服务器系统存在的各种跨站

6、漏洞，然后将跨站漏洞利用代码嵌入到邮件内容中，通过网页或者特定邮件发送软件，将构造好的邮件发送给被攻击者，被攻击对象查看邮件时执行跨站代码，会要求重新输入用户名和密码，攻击者通过事先构造好的邮件登陆页面截获用户名和密码，然后将用户名和密码重新定向到真实的邮件地址，攻击者获取电子邮箱口令以及cookie等信息。获取这些信息后，攻击者就可以登录电子邮箱了6。 1.2电子邮件社会工程学的攻击步骤电子邮件社会工程学攻击的步骤在工作原理上跟普通的网络渗透流程基本类似，归纳如下。 1.2.1信息收集在实施攻击前需要充分了解被攻击对象的各种信息，例如从事的具体职业、性别、年龄、爱好等信息，尤其是掌握其个人邮

7、件地址信息。 1.2.2攻击前测试准备攻击前需要对木马程序进行免杀测试，对漏洞利用工具对各种攻击场景进行实际测试，查看漏洞被攻击后的实际效果，如果存在漏洞，接收邮件打开后没有执行预期目地，说明程序利用上存在问题。同时，申请发送邮件的邮件帐号，通过模拟攻击对象邮箱进行邮件发送测试，防止邮件不能通过邮件服务器安全策略，被当作垃圾邮件处理。 1.2.3实施攻击通过专门的邮件发送工具或者邮箱，发送构造好的邮件。实施攻击过程比较简单，准备好邮件内容和附件即可。 1.2.4进行控制收件人打开邮件感染木马病毒后，个人计算机即被控制，此时就可以读取被控制计算机的磁盘文件，下载使用者计算机中的资料，安装键盘记录

8、器等。如果该计算机与内部网络相连，还可以将该计算机作为跳板，对内部网络实施攻击。 2电子邮件社会工程学攻击防范方法 2.1技术层面防范方法 2.1.1安装杀毒软件和防火墙等安全防范软件在操作系统完成安装后，一定要安装杀毒软件和防火墙软件，对下载的邮件和软件均要进行杀毒，定期对系统进行杀毒，养成杀毒的好习惯。 2.1.2应用软件和安全防范软件更新目前，windows操作系统、应用软件和安全防范软件在一定程度上都存在漏洞，如果网上已经公布了这些漏洞而用户未及时修补，则比较容易受到攻击，因此需要设置windows操作系统自动更新系统补丁，及时更新adobereader、flash、ie等应用软件到最

9、新版本或者补丁程序，每天更新杀毒软件病毒库。 2.1.3使用安全的邮件查看技术虚拟机中查看邮件，即使用目前的虚拟机技术，通过在物理机上安装vmwareworkstation软件，重新安装一个操作系统，所有邮件查看均在虚拟机中进行，查看前做快照，对信件处理完毕后再使用快照恢复，这样即使系统感染木马也不会影响实体机。使用不同的邮件查看软件，尽量熟悉所使用软件的基本设定，不自动下载图档，关闭信件预览功能，用纯文字开启信件。 2.2安全意识方面的防范 2.2.1警惕要求重新输入用户名和密码在电子邮件社会工程学攻击中，邮件跨站攻击是最常见和最有效的一种攻击方法，这种攻击杀毒软件基本无能为力，只能靠个人安

10、全意识来防范，如果在打开某个邮件后不久，要求用户重新输入用户名和密码，这个时候需要小心，对发送邮件的用户进行真实性验证，将邮件交由安全技术人员进行分析和处理，并立即修改邮箱登陆密码。 2.2.2查明信件来源邮件收取采取两不看，即不认识寄件者不看、来源不明的信不看，一些身份不明的邮件，要求通过手机、短信和电话进行物理确认，未经确认一律拉黑或者删除。总之，对于来历不明的邮件坚决不查看。 2.2.3抵制“诱惑”现在社会各种信息非常丰富，多看原始网页内容，针对“朋友”发送的邮件，不心动、不冲动，对于自己感兴趣、有吸引力的信件要验明身份，特别是有附件的，要抵制“诱惑”，不随意打开附件。 3结束语 电子邮件社会工程学攻击看似只是简单的欺骗，但是在网络安全中，它的攻击效