按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
台传真机。
米特尼克语录
人们总是乐于帮助一名熟练的社会工程师，接收一份传真并把它转发到另一个地方似乎是无害的，让一个接待员（或其他人）答应帮忙实在是太简单了。当有人向你请求一些信息时，如果你不认识他或无法核实他的身份，只要拒绝就可以了。
交通法庭
或许每一个接到过超速罚单的人都做过关于逃避处罚的白人梦，不去交通法规学习班，只支付罚款，或碰碰运气设法让法官相信警车计速器（或雷达测速仪）出了一些技术问题。利用系统的漏洞，这个美好的愿望即将实现。
骗局
虽然我不建议你使用这种方法逃避罚单（有句话说的好，请勿轻易尝试），但这仍然是一个很好的社会工程学案例。
我们就叫这个交通违规者保罗·杜里（Paul Durea）好了。
第一步
“霍伦贝克区，洛杉矶警察局（LAPD）。”
“你好，我想和传票管理员谈话。”
“我就是。”
“好的，我是米查姆和塔尔波特的代理律师，我需要在法庭上传唤一名警官。”
“没问题，你要传唤谁？”
“肯德尔警官是你们区的吗？”
“他的编号是？”
“21349。”
“是的，你什么时候需要他？”
“下个月的某个时候，我还需要传唤其他几个证人才能确定开庭时间，肯德尔警官下个月有哪些安排？”
“让我来看看……20号到30号是他的假期，他将在8号和16号参加培训。”
“谢谢，我需要的就是这些，开庭日期定下来我会再打给你的。”
地方法院，办事员前台
保罗：“我想要确定一下这张交通告票的开庭日期。”
办事员：“好的，我可以帮你安排在下个月的26号。”
“好，我想要安排一次传唤。”
“你想为交通告票传唤某个人？”
“是的。”
“好吧，我们可以把传唤设在明天上午或者下午，你想设在什么时候？”
“下午。”
“传唤设在明天下午1：30，在第六法庭。”
“谢谢，我会来的。”
地方法院，第六法庭
日期：星期四，下午1：45
办事员：“杜里先生，请靠近长椅。”
法官：“杜里先生，你了解你的权利了吗？”
保罗：“是的，法官大人。”
法官：“你愿意参加交通法规学习班的培训吗？你的案子将在你成功完成8小时的课程后取消，我查看了你的档案，你目前符合标准。”
保罗：“不，法官大人。我恳请审判此案。还有一件事，法官大人，我要出国一段时间，只在8号和9号有空，能不能把我的案子的审判放在其中一天？我明天就要到欧洲进行商务旅行，我将在四周后回来。”
法官：“非常好，审判设在六月八号，上午8：30，第四法庭。”
保罗：“谢谢你，法官大人。”
地方法院，第四法庭
八号那一天，保罗很早就到了法院。当法官进来的时候，办事员给了他一张未出庭的警官列表，法官召集了所有被告，包括保罗，然后告诉他们他们的案子被取消了。
过程分析
当警官开罚单的时候，他会把他的名字和他的证件号码写在上面（或者其它可以联系他的私人号码），找到他工作的地方简直是小菜一碟。只要打个电话到号码服务台，查询一下写在传票上的执法机构名（公路巡逻局、县警察局、或者其它），事情就成功了一半，接着和那个机构取得联系，他们能提供给呼叫者传票管理员的电话号码。
执法部门的官员经常被法院传唤出庭作证：这是他们的职责之一。当检察官或辩护律师需要一名警官出庭作证时，如果他知道系统是怎样运转的，他就会首先确认这名警官是否有时间出庭。这很容易办到：只要打个电话给那里的传票管理员就可以了。
在谈话中，律师通常会询问那名警官在某月某日是否时间，为了实现这个骗局，保罗稍微变通了一下：他用一个似是而非的理由获知了那名警官无法出庭的时间。
当保罗第一次到法院去的时候，他为什么不直接告诉法院办事员他想安排在哪一天？答案很简单——我个人认为，大多数地方的交通法院办事员不允许让公众成员选择开庭日期，如果办事员提出的日期当事人无法接受，她会提供一个折中的选择，但是她会做出很大的让步。另一方面，想要获得额外的传讯时间的人可能会更走运一些，保罗知道他可以申请传讯，并且法官通常会为传讯安排指定的日期。他请求在那名警官参加培训的那一天开庭，要知道在这种情况下，警员培训比出庭作证要重要得多。
米特尼克语录
人类的思想是一种神奇的产物，比如人们在脑海里设计骗局得到他们要想的东西或者脱离险境。你可以在公共与私营部门中利用同样的创造力与想像力保护信息与计算机系统的安全。所以，各位，当你们制定你们公司的安全策略的时候——要打破常规去思考问题。
在交通法院，如果传唤的警官没有出现——案子就会被取消，没有罚款，不用去交通学校，没有分数，最棒的是，不会留下任何交通肇事的记录！
我猜会有一些警务人员、法院办事员、检察官和类似的人读到这个故事会摇摇头，因为他们知道这种骗局是可行的，但他们只是摇摇头而已，我敢打赌不会有任何改变。就像电影《通天神偷》（1992年）中科斯莫说的那样，“一切只和零与一有关”——意思是，最终，所有的东西都将归结为信息。
只要执法机构愿意把一名警官的日程表提供给任何一个打电话来的人，人们躲避交通罚单的能力就会一直存在下去。聪明的社会工程师可以利用它来获取你不想让他们知道的信息，在你的公司或机构的程序中有类似的缺口吗？
萨曼塔的报复
萨曼塔·格雷森生气了。
她一直在为她的大学商学位而努力，为此她还申请了一大笔助学贷款，因为她总是听到别人说，大学学位能让你成就一番事业，大学学位能让你赚到很多很多的钱。然后她毕业了，却发现自己连一份合适的工作都找不到。
收到蓝贝克制造公司的聘用协议着实让她高兴了好一阵子，虽然这份秘书工作对她而言实在是大材小用，但卡特莱特先生说他们很欣赏她，并承诺在下一个非行政职位空缺时将她纳入候选人中。
两个月后，她听说卡特莱特先生的一个产品采购经理离职了，那天晚上她很久都没有睡，想象着自己在五楼办公室出席会议并参与公司决策的样子。
第二天一大早她就遇上了卡特莱特先生，他说他们觉得在她胜任这一职位之前，她还需要学习更多的行业知识，然后他们从公司外面雇用了一个外行人，一个比她差多了的外行人。
她很快就明白了：这家公司有很多女职员，但她们清一色的都是秘书，他们不会给她一份经理工作，永远也不会。
报复
她花了差不多一个星期才想好怎样报复他们。大概一个月前的产品发布会上，有一家商业杂志的记者想要采访她，几周后那个人打来电话说，希望她能提供一些Cobra 273的未公开信息，作为回报，他会送花给她，并且如果这些信息很有吸引力，他会专门从芝加哥跑来约她吃饭。
她每天会有一段时间待在乔汉森先生的办公室里，所以当年轻的乔汉森先生登录公司网络的时候，她站在后面看得一清二楚（有时候这也称为肩窥），他输入的密码是“marty63”。
她的计划已经开始实施了。她记得有一份备忘录是在她来公司后不久分发的，她在其中找到了一份复印件并仿照原始版本打印了一份新的，内容如下：
TO：C。 比尔顿，IT部
FROM：L。 卡特莱特，开发部
马丁·乔汉森将转到我部门的专业研究小组工作，因此我授权他访问开发组使用的服务器，乔汉森先生的安全配置将更新为产品开发者权限。
路易斯·卡特莱特
术语
肩窥：通过监视用户输入，窃取密码或其它用户信息的行为。
当大部分人都出去吃午餐的时候，她把卡特莱特先生的签名从最初的备忘录上剪切下来，粘贴到她的版本上面，并在四周涂上修正液。她把成果复印了一份，然后再复印了一份复印件，你几乎看不到签名四周的痕迹。最后她在卡特莱特先生办公室附近的传真机上把它发送了出去。
三天后，等到所有人都离开了公司，她走进乔汉森的办公室，尝试用的他的用户名和密码（marry63）登录网络，结果成功了。
只用了几分钟她就找到了Cobra 273的产品规格文件并将其下载到了Zip磁盘上。
当她在凉爽的夜间像风一般走入停车场的时候，那张磁盘正平平安安地待在她的钱包里，等待着和那名记者的见面。
过程分析
一个不满的员工，一次文件搜寻与快速剪切粘贴…修正液操作，少量有创意的复印与一份传真，然后，瞧！——她得到了机密的商业产品技术规格书。
几天以后，一家商业杂志的新闻记者独家报导了一个热门新产品的技术规格书和产品销售计划，这些都在产品发布之前几个月出现在了该杂志的所有订阅者手中，竞争对手将有几个月的时间抢先开发同类产品并在他们的广告活动中做好准备影响Cobra 273的发售。
当然，这家杂志绝不会透漏他们的消息来源。
防范措施
当被请求任何有益于竞争对手的贵重、敏感或关键信息时，员工们必须了解通过来电显示验证外部人员的身份是不被允许的，必须要有一些其它的验证方法，比如与此人的主管联系，确认这些请求是合法的，用户已被授权接收这些信息。
各公司必须自行控制验证程序中安全与效率的平衡。哪些安全措施