论文部分内容阅读
摘 要 随着网络媒体的飞速发展，微信现已成为人们日常交流所不可或缺的工具。一些不法分子趁机利用微信进行诈骗，渠道各种各样，手段层出不穷，给人们的财产造成了重大的损害。本文以南京工业大学在校学生为主要调查对象，利用社会工程学知识对在校生受害群体进行研究，采用案例分析、模型构建和实地调研等形式，从受害人特征层面进行描述和归纳，并着力于研究相关防控策略。
关键词 社会工程学 微信诈骗 群体特征 心理战术
作者简介：袁祎，江苏警官学院学生，研究方向：公安学。
中图分类号：D924.3 文献标识码：A DOI：10.19387/j.cnki.1009-0592.2018.05.138
随着互联网逐步的融入大众的生活，智能手机人手一部的现象也成了常态，它改变了人们的生活方式，种类繁多的应用软件给生活带来许多便利，微信作为大陆流行最廣的通讯软件在人与人的日常交流中起着重要的作用。就像微信的广告语所说：“微信，是一个生活方式”。确实，微信不仅作为沟通交流应用，它还在逐步向交通出行，电商平台，工具，生活服务，IT科技等方面发展。但是，一项事物的新兴发展必然会带来他的弊端。由于沟通的越来越方便，生活的越来越便利，越来越多的犯罪形式以互联网为媒介而发展起来。2017年上半年猎网平台共接到来自全国各地的网络诈骗举报10882起，涉案金额高达12668.5万元，人均损失11641.7元。目前，网络诈骗的金额、数据、规模还在不断的增加，而微信就成为一种新型的违法犯罪工具。我组同学利用社会工程学相关知识对在大学生受害群体进行研究，采用案例分析、模型构建和实地调研等形式，力图从受害人特征层面进行描述和归纳，并研究相关防控策略建议。
一、社会工程学的基本理论
（一）社会工程学的基本概念
社会工程学最早是由黑客米特尼可在《反诈骗的艺术》中所提出的概念，综合可以理解为其是艺术抑或是科学，他有技巧的操纵着人们在生活中的某方面采取 行动。社会工程学应用于社会的方方面面，所以，社会工程学的概念也可理解为：一种操纵他人采取特定行动的行为。
社会工程学攻击社会工程学攻击与其他类型攻击的最大区别是： 会与受害者进行交互式行为建立一个陷阱让对方掉入或是伪造身份来建立信任关系都属于典型的社会工程学的手段。
（二）社会工程学攻击的步骤与特点
社会工程学攻击详细的步骤可分为收集信息（收集信息→信息源→交流模型）、欺骗诱导（铺垫→交流→提问）、伪装（身份调查→爱好植入→提供逻辑结论）、心理战术（思维→微表情→神经语言程序→采访审讯→共识）、操控、反侦察（预防→补救）。
（三）社会工程学的发展趋势
随着越来越多的硬件设备和安全软件的引入以及网络安全解决方案的不断完备，单纯地使用技术手段完成入侵的难度大大增加。而且人们的提防心理也在随着各种反诈骗案件的出现而提升。所以，在巨大的商业价值等因素的驱动下，一些人开始学习社会工程学。他们传统的诈骗技术融入到社会工程学之中，就成为了新的发展方向。他们精湛的诈骗技术也给公安部门带来了很大的压力。
二、微信诈骗种类与其社会工程学联系相分析
常见的诈骗形式有：代购诈骗、二维码诈骗、盗号诈骗、假冒身份诈骗、微信公众号诈骗、微信红包诈骗、帮忙砍价诈骗和点赞诈骗等等。
通过这多种多样的诈骗形式分析后不难看出都有共同的方式，利用了安全体系中的人性漏洞，真正让客户受骗不是因为诈骗方或者黑客有多么高超的技术破解了微信网银客户端或是破解客户用户密码，而是利用了微信使用用户防范心理低的特点，通过用户信息的收集分类在进行诱导诈骗最后成功实施诈骗，尽管社会工程学的微信诈骗成功率比例不高，但是通过大数据显示，被诈骗的人数，金额还是大的惊人。
三、社会工程学实际应用分析
在对南京工业大学进行问卷调查之前，我们联系了相关网络安全系研究社会工程学同学，结合已有相关案件犯罪嫌疑人的供述，这位同学为我们模拟了一次社会工程学攻击的基本流程：
首先，必须掌握某个被攻击人的基础数据，比如名字、QQ、生辰籍贯等。然后利用技术手段通过这些原始数据掌握到关于被攻击人或是与被攻击人共同经历过某段时间的中间人。一个掌握数据的社会工程师在第二个阶段就基本能获取到需要的所有信息，就避免了第三步伪造中间人。第三步作为对第二步的错误信息筛选和更多信息的获取作为跳板，通过伪造成被攻击者认识的人套取他的消息，这里的前提就是对中间人也要有所熟悉，所以一般社会工程中，中间人会不只一个，但是最终的指向都是认识被攻击者但是关系不是很亲近的人。
下面针对这三个步骤进行讲解：
（一）基础数据的获取
首先，确认目标的姓名就可以进行操作，如果有出生日期、身份证号、籍贯、就读学校、学号、圈内好友、好友资料等数据。当获取到的数据达到30%以上，拿到私密信息的概率就会很大。
基础数据拿到后，就开始进行技术手段强化了。
（二）技术手段
通过基础数据获取更多信息的方法非常多，简单分为以下两种。
1.搜索引擎搜索
搜索引擎收录了网络上大多数的网页，如果被攻击人在这些网页上留下过记录或者被网站主动纪录在网页上，就容易得到附带的一些数据，可以验证基础数据的正确性，也可以添加到基础数据中以获得更多数据。
2.直接搜索
这是获取数据最简单方法，也是获得数据比较多的办法，比如说：搜索qq号、搜索不大众化的网络昵称、搜索姓名或者学号、去各个社交软件上搜索、通过github搜索等模式。这些不同的模式可以组合，也可以很容易的自己发现新模式应用。
（三）筛选出开发者的逻辑错误
关键词 社会工程学 微信诈骗 群体特征 心理战术
作者简介：袁祎，江苏警官学院学生，研究方向：公安学。
中图分类号：D924.3 文献标识码：A DOI：10.19387/j.cnki.1009-0592.2018.05.138
随着互联网逐步的融入大众的生活，智能手机人手一部的现象也成了常态，它改变了人们的生活方式，种类繁多的应用软件给生活带来许多便利，微信作为大陆流行最廣的通讯软件在人与人的日常交流中起着重要的作用。就像微信的广告语所说：“微信，是一个生活方式”。确实，微信不仅作为沟通交流应用，它还在逐步向交通出行，电商平台，工具，生活服务，IT科技等方面发展。但是，一项事物的新兴发展必然会带来他的弊端。由于沟通的越来越方便，生活的越来越便利，越来越多的犯罪形式以互联网为媒介而发展起来。2017年上半年猎网平台共接到来自全国各地的网络诈骗举报10882起，涉案金额高达12668.5万元，人均损失11641.7元。目前，网络诈骗的金额、数据、规模还在不断的增加，而微信就成为一种新型的违法犯罪工具。我组同学利用社会工程学相关知识对在大学生受害群体进行研究，采用案例分析、模型构建和实地调研等形式，力图从受害人特征层面进行描述和归纳，并研究相关防控策略建议。
一、社会工程学的基本理论
（一）社会工程学的基本概念
社会工程学最早是由黑客米特尼可在《反诈骗的艺术》中所提出的概念，综合可以理解为其是艺术抑或是科学，他有技巧的操纵着人们在生活中的某方面采取 行动。社会工程学应用于社会的方方面面，所以，社会工程学的概念也可理解为：一种操纵他人采取特定行动的行为。
社会工程学攻击社会工程学攻击与其他类型攻击的最大区别是： 会与受害者进行交互式行为建立一个陷阱让对方掉入或是伪造身份来建立信任关系都属于典型的社会工程学的手段。
（二）社会工程学攻击的步骤与特点
社会工程学攻击详细的步骤可分为收集信息（收集信息→信息源→交流模型）、欺骗诱导（铺垫→交流→提问）、伪装（身份调查→爱好植入→提供逻辑结论）、心理战术（思维→微表情→神经语言程序→采访审讯→共识）、操控、反侦察（预防→补救）。
（三）社会工程学的发展趋势
随着越来越多的硬件设备和安全软件的引入以及网络安全解决方案的不断完备，单纯地使用技术手段完成入侵的难度大大增加。而且人们的提防心理也在随着各种反诈骗案件的出现而提升。所以，在巨大的商业价值等因素的驱动下，一些人开始学习社会工程学。他们传统的诈骗技术融入到社会工程学之中，就成为了新的发展方向。他们精湛的诈骗技术也给公安部门带来了很大的压力。
二、微信诈骗种类与其社会工程学联系相分析
常见的诈骗形式有：代购诈骗、二维码诈骗、盗号诈骗、假冒身份诈骗、微信公众号诈骗、微信红包诈骗、帮忙砍价诈骗和点赞诈骗等等。
通过这多种多样的诈骗形式分析后不难看出都有共同的方式，利用了安全体系中的人性漏洞，真正让客户受骗不是因为诈骗方或者黑客有多么高超的技术破解了微信网银客户端或是破解客户用户密码，而是利用了微信使用用户防范心理低的特点，通过用户信息的收集分类在进行诱导诈骗最后成功实施诈骗，尽管社会工程学的微信诈骗成功率比例不高，但是通过大数据显示，被诈骗的人数，金额还是大的惊人。
三、社会工程学实际应用分析
在对南京工业大学进行问卷调查之前，我们联系了相关网络安全系研究社会工程学同学，结合已有相关案件犯罪嫌疑人的供述，这位同学为我们模拟了一次社会工程学攻击的基本流程：
首先，必须掌握某个被攻击人的基础数据，比如名字、QQ、生辰籍贯等。然后利用技术手段通过这些原始数据掌握到关于被攻击人或是与被攻击人共同经历过某段时间的中间人。一个掌握数据的社会工程师在第二个阶段就基本能获取到需要的所有信息，就避免了第三步伪造中间人。第三步作为对第二步的错误信息筛选和更多信息的获取作为跳板，通过伪造成被攻击者认识的人套取他的消息，这里的前提就是对中间人也要有所熟悉，所以一般社会工程中，中间人会不只一个，但是最终的指向都是认识被攻击者但是关系不是很亲近的人。
下面针对这三个步骤进行讲解：
（一）基础数据的获取
首先，确认目标的姓名就可以进行操作，如果有出生日期、身份证号、籍贯、就读学校、学号、圈内好友、好友资料等数据。当获取到的数据达到30%以上，拿到私密信息的概率就会很大。
基础数据拿到后，就开始进行技术手段强化了。
（二）技术手段
通过基础数据获取更多信息的方法非常多，简单分为以下两种。
1.搜索引擎搜索
搜索引擎收录了网络上大多数的网页，如果被攻击人在这些网页上留下过记录或者被网站主动纪录在网页上，就容易得到附带的一些数据，可以验证基础数据的正确性，也可以添加到基础数据中以获得更多数据。
2.直接搜索
这是获取数据最简单方法，也是获得数据比较多的办法，比如说：搜索qq号、搜索不大众化的网络昵称、搜索姓名或者学号、去各个社交软件上搜索、通过github搜索等模式。这些不同的模式可以组合，也可以很容易的自己发现新模式应用。
（三）筛选出开发者的逻辑错误