上篇連結：[Day 23]資安百物語-第十七談:國際詐騙信 文案欣賞(社工概念篇)
由於在前一篇遭遇了國際詐騙信，
因此除提升自己的資安意識外
我決定看看有那些進行社交工程的工具

懂了如何社工，就不怕再被社工

社交工程工具

1. Social-Engineer Toolkit

可實行

• 魚叉式網路攻擊
• 網頁攻擊(內嵌惡意連結)
• 木馬製作
• 建立Listener
• Arduino 遠端代碼執行
• 惡意信件群發
• Wireless AP 攻擊
• SMS 欺騙攻擊
• QR code 攻擊
  算是功能強大的社交工程工具包

github:https://github.com/trustedsec/social-engineer-toolkit.git

2.Maltego

• 枚舉網絡和網域資訊
  • Whois、DNS、IP address 等
  • 蒐集 Web 資訊
• 視覺化各類資訊
• 可搭配其他工具一起使用，例如shodan

3.Cupp

能夠針對所輸入的目標資訊(生日、姓名、性別、綽號等)生成相應的字典文件
Github:https://github.com/Mebus/cupp.git

4.ISeeYou

基於bash和javascript，可用於網釣 + 社交工程檢測使用

5.Phemail.py
基於python的網釣工具，自動化給目標發送釣魚信件的流程
能夠在不利用瀏覽器或郵件漏洞的前提下，盡可能蒐集更多資訊。

Github:https://github.com/Dionach/PhEmail.git

避免APT攻擊

• 培養資安意識
  對職員教育訓練資訊安全、提升資安意識，畢竟人會是駭客最大的突破口

• 安裝防毒軟體和防火牆
  至少在軟體方面做好準備，但還是有機會繞過

• 機關互相通報及預警

• 請求滲透測試相關服務
  唯有請專家實際進行一次紅隊演練，才有機會找出企業所有可能突破口

測試機關網站若遇到這些攻擊，應執行那些應變流程

[參考來源] ：
https://kknews.cc/code/arbl2qv.html
https://en.wikipedia.org/wiki/Maltego
https://bbs.ichunqiu.com/thread-34242-1-1.html?from=beef
https://zhuanlan.zhihu.com/p/66965132
https://www.freebuf.com/sectool/144740.html
https://www.freebuf.com/sectool/202175.html
https://www.freebuf.com/sectool/143794.html

[圖檔來源] :網路