4.2 伪装的原则和计划阶段

像其他技术一样,伪装也有一定的原则可以遵循。下面列出了一些原则。当然,并不是说就只有这些,还可以继续添加,只是这些原则体现了伪装的本质。

 

下面各小节将详细讨论每一条原则。

4.2.1 调查越充分,成功的几率越大

这个原则不言自明,但还是值得多次强调,因为收到的成效直接和调查的广度与深度相关。正如第2章里讨论的那样,这是社会工程成功的关键。社会工程人员掌握的信息越多,实现有效伪装的机会就越大。还记得第2章中讲述的我的导师马蒂·阿哈罗尼的故事吗?他是如何说服一位高管访问他的集邮网站的?乍一看,对这家公司的进攻之路应该和金融、银行、融资或其他类似的事情有关,因为这是一家金融机构。马蒂做的调查越多,越觉得伪装成一个集邮册出售者最为合适。找出高管的兴趣所在,让马蒂可以轻易地入侵这家公司,而且确实奏效了。

有时候细节决定成败。记住,没有不相关的信息。收集信息时,寻找故事、物品或者个人的特点也是很不错的主意。利用目标个人的性格或者情感依托可以使你离成功更近一步。如果社会工程人员发现首席财务官每年都向一个儿童癌症研究中心捐赠一笔资金,那么伪装时涉及一个与此有关的筹款活动极有可能奏效,尽管这听起来有点无情。

问题是恶意的社会工程人员会不假思索地利用人们的同情心进行伪装欺诈。在2001年9月11日纽约双子大楼被攻击之后,很多恶意黑客和社会工程人员利用人员伤亡为自己牟利,他们设立网站,发送邮件给目标的计算机,并成立虚假基金,利用人们的慈善之心骗钱。在2010年智利和海地发生地震之后,同样的事情再次发生,很多恶意社会工程人员建立网站,发布地震活动或者失踪人员的信息。这些站点利用恶意代码导致人们的电脑中毒。

这类活动在某个电影明星或者歌星死后会更加猖獗。搜索引擎优化和市场营销天才会在几小时内让搜索引擎将他们的文章置于首页。恶意的社会工程人员同营销天才一起建立含有对搜索引擎优化的恶意站点,提升搜索引擎排名,从而利用人们对搜索引擎的不断关注来吸引大家访问这些站点,他们就会获取信息或者传播病毒。

有人会利用他人的不幸来牟利,是这个世界的可悲事实,这就是我所说的本书涉及的黑暗角落之一。作为一名社会工程审计人员,我可以利用一个雇员的感情向对方公司展示,表面上的好意会让这名职员泄露公司宝贵的商业运作数据。

所有这些例子都明确地表达了一点,社会工程人员信息收集和调查过程执行得越好,他促进伪装成功的几率就越高。

4.2.2 植入个人爱好会提高成功率

通过个人爱好去提高社会工程的成功率听起来很天真,但是有助于让目标信服你。如果开始时宣称自己在某一方面很擅长,最终却显示出这方面知识的匮乏,这绝对是毁掉信任关系的最快方式。作为一名社会工程人员,如果你从没见过服务器机房,没有拆过电脑的话,伪装成一个技术人员是很容易失败的。伪装中加入自己感兴趣的话题和活动,从而能够侃侃而谈,会使你显得聪慧而自信。

自信有助于说服目标相信你就是你宣称的那个人。某些伪装(例如集邮爱好者和核弹研究人员)需要更多的知识以让他人信服,这里我们又不得不提起前期研究。有时候伪装则比较简单,只要看一些网站或者读一本书就足够了。

对于社会工程人员来说,获取知识、研究感兴趣的话题,这是非常重要的。在伪装时,你可以聊故事、观点和工作,也可以聊你很了解的某种兴趣爱好,或者是一些谈起来很舒服的话题,看看这些能否奏效。

汤姆·G.史蒂文斯(Tom G. Stevens)博士说:“记住,你的自信心始终与任务和自身处境密切相关。不同情况下,我们的自信心是不一样的。”这种说法很正确,因为自信心直接跟别人如何看待你这个社会工程人员有很大关系。自信(只要不是自大)可以建立信任和默契,而且让人感觉很放松。尽量让目标谈论你感到舒服的话题,然后你就可以自信地发挥,这点很重要。

1957年,心理学家利昂·费斯廷格(Leon Festinger)提出了认知失调理论。该理论认为,人们倾向于协调自己的信仰、观点乃至几乎所有的认知。如果态度和行为之间存在不协调,就必须要修正这种不协调。费斯廷格博士提出有两个因素会影响这种不协调的强度:

 

随后他提出3种消除这种不协调的方法(每个社会工程人员都必须竖起耳朵听):

 

社会工程人员如何利用这些信息呢?当伪装的角色需要你表现自信的时候,表现得不自信就会很自然地产生不协调。这些不协调引发各种红色警告,给你们之间的默契、互信和下一步进展带来障碍。这些障碍会影响目标人物的行为,他们会设法平衡自己不协调的感受,这样你的伪装就失败了。

避免这种情况发生的一种方法,是加入更多的协调信念以使其数量超过那些不协调的。目标对你的伪装角色有何期待呢?了解这些可以让你通过行动、谈吐和态度去迎合目标人物的思维和情感,从而建立起信念系统,让他们忽略任何值得怀疑的地方。

当然,一个技术娴熟的社会工程人员同样可以将不协调的信念变协调。虽然这很棘手,但是这项强大的技巧确实值得拥有。有可能你的伪装和目标的构想不一致。你可以回想一下《天才小医生》(Doogie Howser, M.D),豪斯医生很年轻,这和角色设定的顶级医生似乎不相符。这是个不协调的信念,但是他的渊博知识和行为又让“目标”认为这是协调的。就像之前的例子,社会工程人员可以通过观点、行动,尤其是知识,让他的伪装和目标的认知达成一致。

2010年举办的第18届Defcon峰会上,我见证了这样一个案例。我是社会工程夺旗竞赛(Capture the Flag,CTF)的组织者之一。我们发现很多选手伪装成内部雇员。当问到他们“你的工号是多少?”时,不成熟的社会工程人员会很紧张,要么回答不出要么直接放弃比赛,然而一个训练有素的社会工程人员却不会让目标产生任何不协调的想法。他会随口说出一个在网上找到的工号,或者用其他方法说服目标没必要提供工号信息,以此来消除目标的疑虑。

看似我们在以很专业的口吻解答非常简单的问题,然而,你必须得明白:伪装的方法虽多,但也是有限度的。请明智地选择适合你的那一种。

4.2.3  练习方言或者表达方式

学会用不同的方言与人沟通会给人留下深刻的印象。受居住地的限制,要学会说一种不同的方言或者口音需要一些时间。不是说不可能,只是学会像美国的南方人那样慢声细语地讲话或者学会亚洲人的口音会非常困难。有一次我参加一个国际营销组织举办的培训课程,他们提供的一些统计数据说明,70%的美国人更喜欢聆听一个英式发音的人讲话。我不确定这个统计数据是否属实,但是我会说我喜欢自己的口音。那个课程之后,我听说不少参加课程的人开始练习英式发音了,他们的发音真的很糟糕。我在英国有一个好朋友,名字叫乔恩,当他听到美国人试图去模仿英国口音来表演《欢乐满人间》时非常生气。如果他听到我们组说的英式发音,估计会气炸了。

这个课程让我明白,即便统计学告诉我们哪一种口音更利于销售使用,或者是因为你要到南方或者欧洲去做社会工程,这些都不意味着你可以轻易学会当地的口音。在存疑的时候,就扔到一旁。如果不能让你的方言完美、自然流畅,就不要去尝试。演员们为了和角色的口音一致并且发音清楚,需要专门的声乐教练及培训课程来练习发音。克里斯蒂安·贝尔(Christian Bale)是威尔士人,但是想从口音中辨别出来这点非常困难。在他大多数的电影里,他听起来并不像英国人。而电影《莎翁情史》中的格温妮丝·帕特洛(Gwyneth Paltrow)的英式口音就相当明显。

大多数的演员有方言教练帮助他们完善发音。因为大多数的社会工程人员请不起方言教练,所以可以看一些讲方言发音基础知识的书,比如伊万杰琳·玛琪琳(Evangeline Machlin)的《舞台方言》(Dialects for the Stage)。虽然这本书的出版时间比较早,但是包含了很多很棒的建议。

 

世上有无数种方言和口音,我个人找到了一种很有用的方法,就是写下我要讲的话的音调。这样我可以练习朗读,并且记住大意,让我的口音更自然。

这些建议可以帮助社会工程人员掌握或者至少是熟练使用另一种方言。

即使不能掌握另一种方言,学会工作领域的专业表达方式也可以使情况有所改观。在公共场合听两个人交谈是一个好主意,餐厅、购物广场或者任何能找到一群人坐在一起聊天的地方都是绝佳的场所。仔细地听人们交谈所用的短语或关键词。当你听到他们在一些对话中运用的词汇时,可以考虑把它们纳入到你的伪装中,使其更可信。同样,这也需要研究和勤加练习。

4.2.4 使用电话不会减少社会工程人员投入的精力

最近几年,互联网开始主导某些“不需面对面交流”的社会工程活动。然而,在过去,电话是社会工程中不可或缺的一部分。由于这种转变,很多社会工程人员不再花时间和精力去探究“打电话”这件成功利器。

这里想说明的是,电话仍然是一种非常强大的社会工程工具,不该因为互联网的非人格化性质而减少对它的使用。

很多时候,社会工程人员在策划电话攻击时的想法会有所不同,因为利用互联网看起来更简单一些。要记住,在使用电话进行社会工程时,要投入同等的精力、同等深度的研究和信息搜集,最重要的是同等水平的练习。我曾和一个小组一起练习利用电话进行攻击。我们研究了适宜的方法、语调、语速、音调以及措辞,然后过了遍剧本(通常一分钟左右的时间),开始了一个会话。第一个人打了电话,连线到某个人,刚开始的几句话就搞得一团糟。在彻头彻尾的尴尬和恐惧中他挂掉了第一通电话。这给我们上了很好的一课:话筒另外一头的人根本不知道你想说什么,所以你不会真的“搞砸”。练习会话可以帮助你学会处理那些意料之外的事,而这通常是由你不慎改变剧本所造成的。

如果没有一组人陪着你训练或磨练这些技能,你必须得有创造力。试一试给家人或者朋友打电话,看看你能在多大程度上操控他们。另一种练习方法是给自己录音,就像在打电话一样,然后重放一遍看看听起来如何。

我个人认为使用剧本大纲是很重要的。这里有个设想:想象你不得不给电话公司或者另外一个机构打电话。理由是他们搞错了一笔账单或者服务有问题,所以你打电话过去抱怨。在你跟客服解释以后,告诉他你有多失望,有多生气。客服没有为你提供任何帮助,他说:“本公司承诺提供最好的服务。请问还有什么需要帮助的吗?”如果电话另一端的人稍微思考一下他的问题,就会知道这样问有多傻,对吧?这就是使用剧本而不是大纲所导致的问题。大纲允许你有“艺术创造的自由”,让你在对话里中灵活机动,不必担心下面必须要发生什么。

使用电话提高伪装的可信度,是得到目标认可最快的方法之一。电话允许社会工程人员去“哄骗”或者假冒几乎任何事。看看下面这个例子。如果我想假装是在一个忙碌的办公室里给你打电话,我可以到www.thrivingoffice.com下载一段音频。这个站点提供了一个录音叫“忙”,另外一个叫“很忙”。它们的创作者称:“这个CD很有用,它包含人们可在一家公司听到的所有声音,让人们立即相信这是真实的场景。简单、有效而且质量有保障!”

这个句子就蕴含着社会工程的真谛——充斥着人们想要听到的办公嘈杂声。你发现这个CD能够满足你的预期,而且相当可信(至少在满足目标的预期后,他会是这样认为的),从而能够自动得到信任。

此外,伪造电话号码欺骗要相对简单一些。像www.spoofcard.com提供的服务或者一些自制的方法,都可以帮助社会工程人员改变来电显示的电话号码,让目标认为你是从公司总部、白宫或者当地银行打过来的。利用这些服务可以伪造出世界上任何地方的电话号码。

电话对于社会工程人员来说是非常有用的,养成使用电话的习惯,给予它足够的尊重,可以增强社会工程人员伪装的技能。因为电话是如此有效的工具,而且它的效力还将持续下去,所以必须在它身上花费相当的时间和精力,让它在任何社会工程场景中发挥作用。

4.2.5 伪装越简单,成功率越高

“越简单越好”的原则一点也不夸张。如果伪装有很多错综复杂的细节,以致忘记任何一个都会导致失败,那么就真的会失败。保持故事情节、事实和细节的简单性,会增强可信性。

人际欺骗领域有名的心理学家和研究人员保罗·艾克曼(Paul Ekman)博士,在1993年发表了一篇联合署名的文章,名为“失败的谎言”(Lies That Fail)。在那篇文章中他认为:

很多时候你没有时间去准备故事情节、进行练习和记忆。就算事前有很充分的预案,也有可能突然冒出一个不能预见的方向,说谎者不可能聪明到可以预见所有可能被问及的问题,也不可能准备所有的答案。仅有聪明的头脑是不够的,环境中不可预见的变化会导致原先有效的准备变得不可行。而且,即使不是为情势所迫改变方向,某些撒谎者也会由于记忆问题想不起前面的描述,结果不能快速一致地解答新的问题。

这个重要观点将为什么越简单越好解释得很清楚。如果伪装很复杂,努力去记住伪装的全部内容基本是不可能的,一个很小的错误就可能把你的伪装全部毁掉。伪装应该尽可能地自然、顺畅,应该容易记住。如果觉得很自然,那么回忆之前的事实和故事就不会是负担。

为了表明细节记忆的重要性,我想跟大家分享一则小故事。我曾经从事过销售领域的工作,被安排和一位销售经理一起共事、学习。我还记得他给我上的第一堂课。我们开车到客户的家门口,在下车之前,他看了看信息卡,告诉我:“记住,贝姬·史密斯(Becky Smith)发过来一个请求卡,要求补充保险。我们要用XYZ策略。仔细观察,好好学。”

在前3分钟里他称她为贝斯或贝蒂,每次他叫错名字,我都看到她有情绪波动,然后她会很轻地说:“是贝姬。”尽管我们已经给了她很大的优惠,但依然被拒绝了。她对于自己的名字总被说错很失望,所以对于听到的任何东西都不感兴趣,也听不进去了。

这个场景真实体现了保持简单的重要性。

除了记住事实之外,不过分追求细枝末节也很重要。一个简单的伪装允许故事发展,并且允许目标运用想象去填满空隙。不要试图将伪装设计得很精致,只要记住那些伪装中比较关键的小细节即可。

此外,还有一个有趣的花招:知名罪犯和骗子的一个常用伎俩是故意犯一些错。这个想法是基于“人无完人”而建立的,一些错误会让人感觉很真实。如果运用这个策略,得留心选择决定去犯的错误,虽然这确实让对话看起来更自然,但它增加了伪装的复杂性。少用这一花招,如果一定要用,尽可能地简单。

现在我用以前审查过程中使用过或看见过的例子将上面几点结合起来。通过打电话的良好诱导,一名社会工程人员知道了公司所用的清洁公司的名字。通过网上搜索,他找到了能打印出来的清洁公司的标识。有很多本地或者网上商店可以按照客人的要求将标识印在衬衫或帽子上。

对照模板调整了几分钟,他订购了一件衬衫和一个球帽,上面印有垃圾回收公司的标识。几天过后,穿着印有标识的衣服,带着一个写字夹板,这位社会工程人员来到了目标公司的保安亭旁。

他说:“你好,我是ABC垃圾回收公司的乔,我们接到你们采购部门的电话,要求派一个人来检查后面被损坏的垃圾箱。明天会来人收垃圾,如果这个垃圾箱无法修复,我会让他们带一个新的来。但是我得去后面检查一下。”

保安人员毫不迟疑地说:“好吧,你需要带着这个徽章过去。经过这里再绕到后面,就可以看到垃圾箱了。”

社会工程人员顺利拿到了通行证,对垃圾箱进行了长时间仔细的翻查,但是他还想扩大战果,试图进一步发现线索。他看着写字板说:“这里显示说要检修的不是食品垃圾箱,而是装纸张和技术垃圾的。到底会在哪里呢?”

“哦,照着我告诉你的路线,它们在第3隔间。”保安说。

“谢谢!”乔说。

简单的伪装,穿着有标识的衣服,带着“工具”(如写字板),并且故事情节简单而又好记。正是它的简单性和缺少细节使得这次伪装更加令人信服,进而发挥作用。

另一种惯用的伪装就是所谓的技术支持人员。只需一件Polo衫、一条卡其裤与一个小的电脑工具包。许多社会工程人员使用这种技术顺利进入了公司大楼,因为“技术人员”通常能不受监督地进入任何地方。同样的法则也适用于这里,即保持故事情节的简单会使这种伪装真实可信。

4.2.6 伪装必须显得自然

想要使伪装看起来自然一些,可以采用我前面推荐的大纲模式,而不是使用剧本方式。大纲模式下社会工程人员可以自由地发挥,使用详细的剧本则会太机械。伪装中可以加入社会工程人员感兴趣的项目或故事。假如每次有人问一个问题或做出一个论述,你都支支吾吾,需要深入地思考,而不能做出及时明智的回答,可信性就会因此大打折扣。确实,很多人都是思考后再说,因此这并不是要求你立即答复,但是要有答案或者要找到一个没法回答的借口。比方说,有一次对方在电话中询问一则我不知道的信息。我就说:“让我找找。”然后我迅速看了一遍,假装我是在大声询问同事:“吉尔,麻烦让比尔给我份XYZ账户的订货单。谢谢!”

然后“吉尔”会拿来表格,我就可以得到需要的数据,而表格再也不会被提起。

下面列出了几条让伪装更加自然的方法。

 

这些方法绝对能使社会工程人员在伪装时处于优势地位。具备自然伪装的能力是一种天赋。本章前面谈及了我对汤姆·米施克的采访,他对表现自然持一种很有趣的看法。他说他在练习和准备的过程中,都会将“表现自然”作为一个目标。每次伪装前,他都会进行大量的练习,以至于足以使伪装自然得像是幽默与天赋的产物。

4.2.7  为目标提供逻辑结论或下一步安排

无论你相信与否,事实是人们都希望被告知下一步该做什么。想象一下,你去看病,医生走进来给你检查了一番,并且在记录纸上写了一些东西,然后说:“好了,下个月见。”这是让人无法接受的。就算是听到坏消息,人们也希望被告知下一步该做什么。

作为一名社会工程人员,你要离开目标时,可能需要他采取或不采取行动,或者你已经得到想要的,只需离开。无论是什么情况,都应给目标一个结论或不会令其怀疑的下一步安排。

就像医生给你检查了身体,然后没有任何指示就打发你回家。如果在社会工程中,伪装成技术支持人员进入一幢大楼,在复制好数据库之后一句话也不说就离开,会让每个人产生疑惑:到底发生了什么事?甚至有人可能会给技术支持公司打电话,询问是否还要他做什么,或者最坏的情况是让他们自己胡乱猜测。无论是哪种情形,这种一句话也不留的离开方式都是有问题的。哪怕简单的一句“我已经检查了服务器并且修复了文件系统,你们会发现系统在未来几天里运行速度会提高22%”,都会让目标觉得“他们的钱花得值”。

令社会工程人员感到棘手的是让目标在他走后采取行动。如果这一行动对完成社会工程审查非常关键,你会想要自己主动出手。比如在第3章中,我讲到在一个商业会议活动中收集信息的案例,如果想让目标给我发邮件,我会说:“这是我的名片,你是否可以在星期一给我发一封邮件,详细介绍一下XYZ公司?”他可能会记得给我发,也可能一回办公室就把我忘得一干二净了,这样整个事件会以失败告终。也许这样说会更好:“我非常想从你那里了解更多的信息。在周一时我可以给你打电话或者发邮件询问更多细节吗?”

你提出的要求也应该和自己伪装的身份相匹配。如果你伪装成技术支持人员,则不应该“命令”周围的人必须做什么或者不能做什么,因为你在为他们提供服务。如果伪装成UPS快递员,你就不应该要求进入服务器机房。

正如之前提到的,一次完美的伪装还需要很多的步骤,但是对于需要进行完全可信的伪装的社会工程人员来说,本章的内容已经足以为你夯实基础了。

你可能会问:“好吧,你列出来这么多原则,那接下来该如何呢?”社会工程人员要如何做,才能在电话里或者与他人面对面的交流中,进行前期调研充分、可信、语气从容而简单的伪装呢?怎样才能得到想要的结果呢?欲知详情,请继续阅读本书。