开发者俱乐部

标题: 【信息安全】社会工程学[4]：攻击手法之施加影响 [打印本页]

作者: true 时间: 2016-3-13 19:35
标题: 【信息安全】社会工程学[4]：攻击手法之施加影响
★关于《影响力》

说到施加影响以及相关的技巧，就不得不提及《影响力》这本书。这真是一本好书啊，很值得俺专门写一个书评来忽悠一下。不过捏，刘未鹏同学已经抢先N步，写了此书的评论（在“这里”），所以俺就不再浪费打字的力气去做重复劳动了。
《影响力》这本书高屋建瓴地总结了“对他人施加影响”的种种伎俩。这些伎俩似乎不够光明正大，但常常能收到奇效。如果你从来没有读过此书，强烈建议你先去拜读一下（俺提供了本书电子版的下载），再接着来看本帖后续的内容。
......
......
......
现在，不妨假设你已经拜读过《影响力》。接着，咱们来看看书上的那些技巧是如何运用在社会工程学当中的。

★博取好感

博取好感是施加影响的手法中，最基本的招数。具体的技巧有很多种，咱今天只介绍常见的几种。

◇通过外在特征的“光环效应”

此处所说的外在特征，包括相貌、嗓音、着装、甚至姓名等诸多方面；此处所说的“光环效应”（也叫光晕效应、晕轮效应），是指对某人的某个局部特征的看法被扩大化，变成对此人整体的看法。这么说比较抽象，咱来看下面几个例子。另外，俺单独写了一个帖子详细介绍“光环效应”，在“这里”。

举例1（以貌取人）
据说当年马云创业时，出去推销产品，别人一看到他都觉得他是坏人。显然，相貌和人品没有必然联系。但是很多人在潜意识里，都会把长得歪瓜裂枣的人当成坏人。
举例2（以名取人）
比如很多歌星、影星仅仅由于演技好，其fans就把演技扩大化，认为他们/她们样样都好。其实演技好和人品好没有必然联系。
所以俺在前一个帖子里强调社会工程的攻击者需要有好的嗓音（有时甚至需要有好的相貌），就是为了能发挥光环效应。

◇通过相似性来博取好感

所谓的“相似性”，范畴很广，常见的有如下一些：同学、同乡、同校（校友）、爱好相同（比如都喜欢看球，甚至都喜欢某个球星）、经历相同、等。
很多攻击者善于通过看似不经意的闲聊，和被攻击者扯上某种关系，让被攻击者的好感油然而生。

★通过互惠原理来骗取好处

俺在看了《影响力》之后，才意识到互惠原则的效果竟然如此巨大。真是不看不知道，一看吓一跳。具体的例子书上举了很多，俺这里主要总结互惠原则的两种运用招式。

◇初级招式：“投桃报李”式

“投桃报李”式比较好理解，简单说就是给予对方一点小甜头，然后再索取点小回报。
为了形象点，举例说明：
比如有个攻击者在信息收集阶段，想了解某个连锁商店店长的信息。攻击者打电话给该商店（接电话的是某店员），谎称自己是一位长期客户，由于该店的服务很好，想写封表扬信给店长。店员一听就很爽，立马就把店长的详细信息告知对方。

◇高级招式：“拒绝-退让”式

“拒绝-退让”式比“投桃报李”式要高级一些。这个招式实际上包含了互惠原理和对比原理，如果把握得当，效果比“投桃报李”要好很多。具体的实施分两个步骤进行：先提出一个很高（比较过分）的要求（以下简称A），对方多半会拒绝；然后，攻击者主动作出让步（撤回该要求），再提一个（相对 A来说）比较低的要求（以下简称B），这时对方多半会答应。其实A仅仅是一个烟雾弹，并不是攻击者的真实意图。攻击者真正想达成的是B。
这个招式的难点在于把握A的尺度。A必须和B形成比较明显的反差（利用对比原理），通过A来衬托出B的微不足道。这样，对方拒绝了A之后，潜意识里觉得B反正很微不足道，再加上互惠原理的作用，就会很容易地接受B。
比如有些攻击者在收集信息时，可以先索取某个比较敏感的信息，如果对方拒绝了，就转而索取一个不敏感的信息。

★通过社会认同来施加影响

所谓的“社会认同”，通俗地说就是人云亦云、随大流。大多数人都有这个毛病，否则也不会有那么多跟风、赶时髦的家伙了。
那社会工程者如何运用这个伎俩捏？一个常见的方法就是“造势”。通过制造某种舆论来引导（或者叫“误导”）被攻击者，从而达到目的。这种方式有两个要点：
首先，要达成某种规模效应。一旦规模形成，由于“社会认同”的影响，就会变成正反馈，导致越来越多的人被卷入。
其次，要注意引导的技巧。具体要如何“引导”捏？常见的有：“制造狂热”、“制造恐慌”、“制造愤怒”、“制造反感”等方式。当人们处于狂热、恐慌、愤怒、反感等状态时，会变得情绪化。这时候，感性的因素就会占主导，同时会丧失理性的判断，从而被一小撮人所利用。
从本质上分析，这两个要点依然是借助了心理学层面的因素来起作用。关于造势的例子，大伙儿可以看看源自IT行业的FUD（Fear, Uncertainty, Doubt，具体解释见“这里”）手法。
写到这里，突然联想到：其实天朝的毛太祖，就是造势、造舆论的高手啊！上述的两个要点发挥得炉火纯青，不得不令人佩服啊！

★通过权威来施加压力

大部分人都有服从权威的倾向。因此攻击者可以通过树立或借助权威，让对方服从自己的一些不太合理的要求。
比如有的攻击者假冒成某VP（Vice President）的秘书，声称该VP急需某某文件或资料，那么对方就会迫于压力而答应。这个招数在等级森严的组织机构，效果特别好。

★总结

有句话俺必须再啰嗦一下：按照二八原理，大部分人都是感性的。为啥上述的这些伎俩能够屡试不爽？就因为这些技巧充分利用了人们感性的弱点。如果你是一个感性的人，那可要小心啦：你可能会容易入上述这些圈套，平时须得小心防范。
不过捏，凡事总有两面性滴。你一方面要提防别人通过这些招数影响你，另一个方面，你也可以利用这些东东去影响别人。虽说今天是为了介绍社会工程学才扯了这么多施加影响的招数，但这些玩意儿可不仅仅限于社会工程学哦。在很多很多不同的领域（比如管理、谈判、社交、追MM或追GG、推销、......）

欢迎光临开发者俱乐部 (http://xodn.com/)