1
| 本文作者： 李勤 | 2017-01-12 19:28 |
蕾蕾一直沒有想明白，身高1米8，又帥又體貼的峰峰為什么看上了自己？要知道，峰峰的前女友可是身材高挑、膚白貌美的小美女。最近，蕾蕾從峰峰身后路過時，“一不小心”看到了峰峰在聊天，而“小美女”的頭像一直在跳動。蕾蕾沒有問峰峰，但如晴空霹靂，又百爪撓心，想知道男票究竟和前女友說了啥。
一不做、二不休，蕾蕾想，要不干脆找到男朋友的社交帳號密碼，也好時時關(guān)注“敵情”。
怎樣才能神不知鬼不覺地拿到男朋友的社交帳號密碼？
難度：※
你是他女朋友呀，各種旁敲側(cè)擊加正面打擊地問唄，生日紀念日各種日子你也都知道的呀，這招應(yīng)該還是挺靠譜的。
問什么樣的問題男朋友會被套路？
例如：1.“最近聽說某某網(wǎng)站放出一個密碼設(shè)置最容易破解排行榜，辦公室的小黃今天在那一驗證，發(fā)現(xiàn)果然是這樣，他的密碼就是名字＋生日，你說傻不傻？”然后觀察男朋友的神情，是比較輕松愉快還是尷尬，甚至說：“慘了，我也是這樣?！?/p>
2.時不時在談話中“套路”一下，比如在聊人生時，讓他聊聊記憶深刻的事情、最喜歡的寵物、最愛的人（十有八九會被反套路，此刻要問那第二愛的人之類）、游戲昵稱帳號……
3.如果他給過你其他密碼，可以研究一下密碼的規(guī)律，套用在新密碼上。
難度：※
現(xiàn)在數(shù)據(jù)泄露不少，最好的情況是能直接查出密碼；另外，不少人有使用通用密碼的習慣，這樣的話也相當于直接查出密碼了；通過大量的數(shù)據(jù)，也有比較大的幾率看出這個人的密碼習慣，增加猜解密碼的習慣。至于怎么查庫，用搜索引擎搜索“社工庫”就行了。
然而，這種集成的社工庫“稂莠不齊”，像“700元買到同事全套信息”這種庫還算“良心”，有些社工庫會誘使你付費，你查詢的信息也會進一步與已泄露信息綁定。當然，目的是查男朋友的賬號和密碼，幾百塊錢可能不算什么……
以前，很多漏洞提交平臺會放出一些被泄密的數(shù)據(jù)庫，比如已經(jīng)慘烈不能打開的烏云網(wǎng)站，還有烏云的鏡像網(wǎng)站，很多黑客直接把數(shù)據(jù)庫下載下來自己查詢。
此處，要敲小黑板的是，《中華人民共和國網(wǎng)絡(luò)安全法》規(guī)定：
違反本法第四十四條規(guī)定，竊取或者以其他非法方式獲取、非法出售或者非法向他人提供個人信息，尚不構(gòu)成犯罪的，由公安機關(guān)沒收違法所得，并處違法所得一倍以上十倍以下罰款，沒有違法所得的，處一百萬元以下罰款。
這樣查庫的妹子一不小心就要走上違法的道路，請三思而后行……
難度：※※※※
比如，XSS 呀，注入呀，安全網(wǎng)站上這些案例很多，當然公開的漏洞都是已經(jīng)修復(fù)的，不過你可以學(xué)到方法自己去研究噠。
這一招需要一定的編程基礎(chǔ)，是的，現(xiàn)如今，不會寫代碼可能連密碼都找不著。
XSS 又稱 CSS，全稱 Cross SiteScript，跨站腳本攻擊，是 Web 程序中常見的漏洞，XSS 屬于被動式且用于客戶端的攻擊方式，所以容易被忽略其危害性。其原理是攻擊者向有 XSS 漏洞的網(wǎng)站中輸入 (傳入) 惡意的 HTML 代碼，當其它用戶瀏覽該網(wǎng)站時，這段 HTML 代碼會自動執(zhí)行，從而達到攻擊的目的。如，盜取用戶 Cookie、破壞頁面結(jié)構(gòu)、重定向到其它網(wǎng)站等。
簡單來說，就是你瞅準了一個社交網(wǎng)站，
通過各種掃描工具或者人工輸入來找到它的 XSS 漏洞，然后精心構(gòu)造攻擊字符串；
把這個字符串作為漏洞網(wǎng)站文本編輯框的表單值輸入提交，就會造成攻擊。手工輸入這個字符串，并提交，瀏覽器地址欄自動生成攻擊URL；
做成誘人的鏈接，讓男朋友點擊。
然而，讓男朋友點擊后，其實你需要另外一臺可以接收男朋友 cookie 的服務(wù)器，如果你在網(wǎng)上找到了這種服務(wù)器，沒有寫代碼的基礎(chǔ)，很難看出這個服務(wù)器的代碼中是否有有害代碼，這意味著，少女，你男朋友的密碼同時可能會發(fā)到“有心人”的郵箱。
難度：※※
為了登陸方便，現(xiàn)在不少瀏覽器有保存登陸密碼的功能哦，怎么查看？搜索“查看+瀏覽器名稱+已保存密碼”，然后根據(jù)網(wǎng)上的方法一步一步操作就行了。
前提是，男朋友設(shè)置了保存密碼，而且，你需要在男朋友不在家時，在他的電腦上偷偷操作。但是，講真，你有男朋友的開機密碼嗎？如果你都能用他的電腦，似乎去找他的密碼就沒什么必要了，除非你想長線操作，長期監(jiān)督。
難度：※※※※※
實在不行寫個鍵盤記錄器放他電腦上運行呀，輸入了什么全部發(fā)送到你郵箱。
萬萬沒想到，放一個鍵盤記錄器在男朋友電腦上，原來是最難的——如果你能打開他的電腦，直接安裝除外。
不過，對于有編輯基礎(chǔ)的妹子而言，可能在大學(xué)上計算機課程時，就專門學(xué)習過如何寫一個鍵盤記錄器。當然，如果你從網(wǎng)上下載也行，不過會不會被暗中種下木馬，將記錄下來的內(nèi)容發(fā)送到“有心人”的郵箱一份？
鍵盤記錄器寫好后，可以做成鏈接的形式，誘使男朋友點擊，接下來會發(fā)生的事情想必你都可以知道了。
難度：※※※
本來釣魚也應(yīng)該是屬于社工的，但是上面講的社工主要就是一些面對面的心理戰(zhàn)術(shù)了?！吧洗我黄鸪鋈ネ娴恼掌呀?jīng)整理出來啦，“去看看吧。http://XXX.cn”這樣的消息收到過沒？點開鏈接發(fā)現(xiàn)是某空間要求輸入賬號和密碼的地方，嗯，和正版一模一樣哦，可是你看看鏈接啊，鏈接不對啊喂，這就是釣魚咯。
首先，你需要做一個和正版一模一樣的釣魚網(wǎng)站，當然，這個社交網(wǎng)站可能在網(wǎng)上有源代碼可以抄。然后，需要購買一套釣魚工具。
這一招式比挖漏洞容易，但是也需要技術(shù)基礎(chǔ)。
難度：※※※
知乎上也曾有一個高票答案值得借鑒，編寫一個玫瑰花的示愛程序，植入木馬，直接發(fā)給男朋友即可。
上述技術(shù)支持均為京東安全工程師肉肉口述，雷鋒網(wǎng)編輯采寫。但是，僅為技術(shù)理論探討，肉肉本人并不支持這些做法。為了保護另一半的權(quán)益，肉肉與雷鋒網(wǎng)編輯建議如下：
1.不在瀏覽器保存常用密碼；
2.不同網(wǎng)站設(shè)置不同密碼，尤其密碼設(shè)置不要按照常用套路走；
3.不隨便點擊鏈接，即使是對象發(fā)過來的，有技術(shù)基礎(chǔ)的童鞋，可以技術(shù)反制，當然后果自行承擔，比如，被罵、被分手……雷鋒網(wǎng)概不負責。
當然，最美好的結(jié)局是，峰峰發(fā)現(xiàn)了蕾蕾的套路，心甘情愿地上當受騙，讓蕾蕾知道了他的賬號和密碼，安心被監(jiān)督，從此心照不宣地在與朋友的交流中不定期向蕾蕾表示忠誠與喜愛。
只要套路深，鐵杵磨成針！諸君共勉之！
注：雷鋒網(wǎng)再次強調(diào)，不鼓勵任何違法和侵犯他人隱私的行為，僅理論探討，希望小情侶們互相信任，渣男、渣女則好自為之，三觀正正噠。另，蕾蕾和峰峰均為化名，如有巧合，可以關(guān)注雷鋒（蕾蕾和峰峰）網(wǎng)。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
