浅谈心理学在渗透测试里的运用

释放双眼,带上耳机,听听看~!
点击上方“公众号”可订阅哦!

本文章讲的是什么

心理学

什么是心理学,本公众号擅长更新信息安全技术的笔记为什么,写一篇心理学笔记。

由来


可能到现在大家还不是很理解我为什么要写一篇心理学笔记,这并不是在课堂上的随笔,而是我闲暇时间自学心理学,发现的一些可以与渗透测试息息相关的技巧与人们的反应,这让我原本枯燥的生活 充满了乐趣。

认识自己


记得前几天的文章出过一篇关于社会工程学的文章,里面的东西,大家都看懂了吗?

咱们要进入正题了



避免陷入争论


这里引用《平凡的小事》里面登过得一篇文章来源于《人性的弱点》一书

学会接受不同的意见。


请记住这句话:“如果一起合作的两个人意见总是完全一致,那么他们其中的一个人就失去了存在的意义”


如果对方提出的问题是你不曾想到的,那么你应该感到庆幸。也许因为对方所提出的问题,使你的一个严重的失误得到纠正。

你应该将那些先入为主的观念丢掉,人的本能会让我们下意识地进入戒备的状态。你要格外的小心,要保持冷静,因为你的本能反应也许会把你的理智吞噬掉。


控制好自己的情绪。人们往往都是用脾气来衡量一个人的气度的。要给对方说话的机会,一定要耐心地听对方把话说完。假如你中途进行反驳和辩护,只会加深你们之间的隔阂。建立起沟通的桥梁才是你应该做的,而不是加深隔阂。


努力地寻找认同点。认真地听对方把话说完后,想一想,对方的观点有哪些是你所认可的。

在能让步的时候就让步,该承认错误的时候就承认错误,这会使对方放下戒心。


向对方承诺你会认真考虑他的想法,而且绝对不会失言,因为对方的想法也许是正确的。在这个时候考虑他们的观点,总好过让对方有机会指责你:“我们曾经告诉过你,但是你就是不听。”


真心地感谢对方的重视。对方肯花时间和你一起探讨这个问题是因为你们有着共同的兴趣。你可以把对方当成一个真心想帮助你的朋友。


换个时间再讨论这个问题,这样双方都有更多的思考时间。当你们把所有的细节都考虑到的时候,你们就可以安排时间见面了。


在见面之前,不妨先问问自己下面这些问题:

对方的观点有可能是正确的吗?


也可以这样问,有一部分是正确的吗?他的论点中有没有什么可取之处呢?


我今天的建议能解决问题,还是只会引起不快?


我今天的行为会让对方敬而远之,还是会得到对方的肯定?


我今天的表现会让别人对我有更多好感吗?我是会赢还是会输呢?


如果我赢了的话,会付出怎样的代价呢?


如果我尽可能保持沉默,会不会化解分歧呢?

目前所面临的困难对我而言算不算一个机会?



笔记;关于这个实例很容易让人联想到中国的一句谚语“退一步海阔天空”其实这一句话我是很认同的,有同学说,有仇当场报那多爽,我只能说这种叫做“攻击行为理论”并不是最好的解决途径

攻击行为理论是以伤害另一生命的身体或心理为目的的行为,即对他人的敌视、伤害或破坏性行为。包括身体、心理或言语等方面。来达到身心愉悦以便“出气”,并未考虑后果。

这种行为不亚于开车去菜市场买菜,半路碰到个碰瓷的老太太,但是因为好奇,把车停到不远处,满足自己的好奇心,然后被老太太讹上一些钱,承担了后果但是还找不到当初满足的心。

渗透测试

在渗透测试里的运用

可能有人会问了渗透测试也可以运用心理学吗

答案是可用的,但是从网络上去运用还是用处不大,但在现实里两个陌生人,假设一个人巧言令色去和一个陌生人去沟通,你会发现这两个人非常有礼貌,而且其中一个人特别的堤防。这种时候你要怎么套出有用的个人信息呢

出自《论语·学而》,意为:花言巧语,装出和颜悦色的样子,这种人的仁心就很少了。

其实正确的解释这个词是一个人如果能做到脸色好看说话好听,就很多人愿意亲近他,这种人已经很少了

诱导;注意观察他的衣着,说话口音,能够推测出地点与生活条件,可以寻找共同话题去信心对方注意,注意要大胆,因为从双方来看,都是陌生人,在前几天写的社工一文中有个工具看似不重要的信息,都会成为,突破后台与个人用户的密码。

实际上社会工程学在做的就是信息收集

个人信息伪装

如何在社交中保护自己呢,首先名字伪装,如小名,代号等,可以让对方称呼,保护个人姓名,但是不能说假名字,被发现了很尴尬的。

如果有人要求要你手机号的话,可以引入聊天软件,如QQ,微信,进行朋友圈禁止查看。即使能查到IP之类的。但是问题不大,最好准备两个手机号,一个工作,注册使用,一个禁止注册任何网站,只做私人电话使用。

怎么在渗透测试里运用<避免陷入争论呢>

如下,与甲方沟通黑盒测试,怎样测试时,不要去刻意提醒,对方如何测试,只做稍微提示,避免对方装“大尾巴狼”的现象,有的时候祸从口出也是无法避免的,那就主动道歉,记住认识自己,自己只是个小员工不要意气用事,去毁了自己前程。

笔记来源于《人性的弱点》


FBI技巧

邮箱的利用

记住一个格式就可以说是格式也可以说是准则

邮箱也要遵循正确的有效格式

当涉及到细节描述且沟通人数过多时需要以发送的邮件来解决

邮箱发送对象定位

适当运用虚拟沟通

邮箱内容应该丰富

沟通有效性    

笔记来源于《FBI沟通术》

邮箱

邮箱在渗透测试的利用

邮箱能干什么

我们为什么还要在这个信息APP横生的年代里使用邮箱

什么是钓鱼

邮箱能干什么与为什么使用


在这个信息APP很横生的年代里邮箱为什么不被取代呢

电子邮箱的维度更宽。

去中心化 电邮是不存在中心。

基于统一、公开的通信协议,全世界任何国家地区任何域名的邮箱可以互相连通,而不受平台的限制。 

即时通讯则有鲜明的地区、人群、平台限制。

 比如中国人喜欢用微信,美国人喜欢WhatsApp,这两个软件之间是不可能互通的,但使用QQ邮箱的和使用Gmail的却可以无障碍传送邮件,这就是电子邮箱去中心化的优势。


便于回顾 你可以说微信也一样可以查看聊天记录,但电子邮箱的维度更宽。


你可以按日期查看、按联系人查看,可以对不同的邮件进行分档归类,这种类似整理文件的归纳方式十分适用于办公族群。


即时通讯则在记录、搜索上十分薄弱,不便于归纳分类。 从协调工作来看,邮件存储于两方,可有转发、抄送、密送等辅助功能,使用邮件进行交流更加不容易发生扯皮。


效率更高 即时通讯尽管速度快,但在协同工作效率上并不及电邮。


电邮却可以自由选择发送对象,发件人可以根据项目情况及要求选择收件人,且人数可以批量添加。

即时通讯则只能一对一或多对多(如微信群),我们不可能每发一封邮件就新建一个群。


并且,电邮中的叙述更加完整,不受到字符限制,任何图片、文档都可以在同一个邮件中形成一套整体思路,即时通讯则是碎片化的。


从这三点来看,电子邮箱同样具备即时通讯无可比拟的优势,这也正是电子邮箱始终没能被即时通讯取代的原因。

来源于搜狐搜索

钓鱼

什么是钓鱼

钓鱼是利用人们的贪婪与好奇诱导点击未知链接去达到盗号,盗取个人信息的操作

钓鱼在邮箱里的运用

例子;

小明很喜欢玩《王者荣耀》这个游戏,但是手里没钱,所以打游戏时爱骂那些有皮肤的玩家,这时在知道他QQ的情况下,如何实行盗号。

这时就用到了邮箱钓鱼

流程

搭建钓鱼网站–>生成短连接–>发送钓鱼邮件

其中应标题最吸引人,才会大大提高上当几率

思维;目标登入网站,提示二维码扫描过期,必须账号密码登陆,第一遍提示不成功,第二遍提示不成功(方便对照)第三遍跳转链接为王者荣耀官方网站

也可以在网站下方让其下载APP,包含手机短信转发功能,填写手机号注册,获得权限。

其实看我这里描述很简单,但是实际操作很难,从前期的域名注册,其实不用那么麻烦本地搭建一下,能让外面访问就可以,不是常使用没有必要再去花钱,因为短信转发APP大多数百度为锁机木马,并且现在杀毒软件很容易就查杀了。这种其实可以用外挂做掩护,看要怎么用了,这里不提供工具,只提供思想,让大家了解到黑客的钓鱼方式


文章的最后提供大家一些我这些年使用的在线社工工具大多数为IP定位,国内的社工库已经很少了我也没有找到

在线网站

网络收集

IP查询;http://www.hao7188.com/
RTBAsia ODX机器人和真人概率判断识别;https://ip.rtbasia.com/
程序员在线工具;https://tool.lu/
网站历史库;http://www.54zz.com/
谷歌公共DNS;https://dns.google.com/
DNS检测报告;https://www.shentoushi.top/index.php/Go/?url=https://intodns.com&LinkId=586
提权EXP搜索;http://blog.neargle.com/win-powerup-exp-index/
安全沙漏;https://www.secsilo.com/
任意邮箱伪造;http://tool.chacuo.net/mailanonymous
临时邮箱;http://24mail.chacuo.net/
临时邮箱;https://www.guerrillamail.com/
密码生成网页版;http://tools.mayter.cn/
注册过那些网站;https://www.reg007.com/
数据泄露查询;https://haveibeenpwned.com/

本文源自微信公众号:渗透云笔记

人已赞赏
安全工具安全教程安全新闻

python教程(第七章)

2019-10-16 17:22:45

安全工具安全教程安全新闻

Ubuntu Server 第二章 命令行基础

2019-10-16 17:22:50

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索