|
|
發表於 2012-12-12 23:05
|
http://www.wretch.cc/blog/foxwei99/11284554
這是一個網路詐騙手法之一
恭喜您獲得一隻手機
================================
超人大大：
剛在網路上找尋到此資訊
分享予您和大家，可以參考看看
================================
下一則是在知識+ 找到的資訊
您也可以參考看看....
雖然內容很多
就慢慢看看~~~
縱然這些都是在網空世界裡所流傳的訊息,但有時我們都會不小心忽略了....
網路的引誘很多,要小心不要讓自己的電腦中毒,個資外洩...
以下是摘錄於知識＋
http://tw.knowledge.yahoo.com/question/article?qid=1712010496347
假冒網站和危險附件
--------------------------
雖然有句老話說“不勞而獲是不可能的”，但把免費當做幌子進行促銷仍是許多商家願意使用的方法，
無所謂合理（“等一下，還有……，現在打電話，我們將免費奉送一套餐刀和一個長柄鍋！”）
或不太合理（“佛羅裡達濕地，買一畝送一畝！”）而大多數人對免費的渴望往往導致忽略了對方的提議和承諾。
我們都熟知“顧客當心，出門不換”的警言，但在這裡需要注意的是一另句話：“小心具有誘惑力的電子郵件附件和免費軟件。”精明的攻擊者會想方設法進入企業的網絡，比如利用免費禮物對人們的吸引力。
下面是幾個例子：
你不想免費麼？
就像病毒從一開始就給人類帶來禍害，給醫生帶來麻煩一樣，計算機病毒給其使用者帶來同樣的苦難。
如今，計算機病毒以其巨大的破壞力受到很多人的關注，它們是由計算機破壞者製造出來的。
計算機痴迷者逐漸存心不良，計算機破壞者在賣力的炫耀他們是多麼的聰明過人。
有時他們的行為像是入門儀式，為了給具有老資格和經驗豐富的黑客前輩留下印象，
他們攢著勁的製造出會帶來危害的蠕蟲或病毒。一旦這些“成果”破壞了文件，毀掉整個硬盤，
並把自身發給成千上萬的毫無防備的人，破壞者便會因此而沾沾自喜。
如果這些病毒帶來的危害足以成為報紙的新聞和網絡上的病毒警告，他們便更加得意洋洋了。
有很多文章來描寫這些破壞者和他們製造的病毒，還有防病毒的軟件程序和專門的安全企業，
但我們在這裡並不想過多的討論如何在技術上防範他們的攻擊，以及他們的破壞行為，
我們的話題將更多的關注他們的遠親――社會工程師。
來自電子郵件
你也許每天都能接到不請自來的郵件，有廣告還有提供免費品之類的郵件，這些東西你既不需要也不想要。
你知道那無非是些投資建議、電器、維生素或旅遊打折之類的東西，還有你並不需要的信用卡、
可以免費觀看收費電視頻道的設備、增進健康或改進性生活的方法，等等等等。
但每當這樣的郵件從你的電子郵箱彈出來的時候都會引起你的注目，也許是一個免費遊戲、
一副你喜歡的名星的照片、一個免費日曆軟件或是用來保護你的計算機免受病毒侵害的便宜的共享軟件。
無論是什麼，它都會引導你去下載你想去嘗試的文件。
所有的這些行為，包括下載從廣告郵件中得知的軟件、點擊一個你從未聽說過的網站鏈接、
打開陌生人發過來的附件，都可能會惹來麻煩。當然，很多時候你得到的也正是你想要的，
或者運氣很差，令你失望和生氣，但至少無害。可有些時候，你會碰到計算機破壞者製造的程序。
發送惡意代碼到你的計算機上只是攻擊的一小步，攻擊者會誘導你下載完成攻擊所需的附件。
註：
有一種在計算機上悄悄運行的程序叫RAT（Remote Access Trojan）――遠程訪問控制木馬，
它給予攻擊者充分訪問你的計算機的權限，如同坐在你的鍵盤前。最具有破壞力的惡意代碼病毒，
像愛蟲（Love Letter）、SirCam和Kournikiva等等，都依賴於社會工程師欺騙的藝術，
並利用人們不勞而獲的心理傳播。它時常作為一個具有引誘力的郵件附件而出現，
像機密信息、免費色情資料，或者一個更加詭詐的方法――一條你可能定購了某昂貴物品的信息。
最後這種方法，利用你害怕信用卡可能被消費的心理，令你打開這些危險的附件。
令人震驚的是，有太多的人因此而上當，即使在一次又一次的被告知打開附件的危險性之後。
隨著時間的過去，逐漸削弱的危險意識，讓我們每一個人都易受攻擊。
識別惡意軟件
另一種惡意軟件在你不知道或未認可的情況下進入你的計算機運行，這種軟件偽裝的很好，
甚至有時它會表現為一個word文檔或是powerPoint文件，或含有宏命令～～
它將悄悄的安裝一個未經許可的程序。比如，它可能是一個在第六章談到過的木馬。
一旦這個軟件安裝到你的計算機上，它能夠將你每一次敲擊鍵盤的情況反饋給攻擊者，
包括你的口令和信用卡號。
還有兩種惡意軟件
聽起來些難以置信。一種可以把你說的每一句話都傳送給攻擊者，即使你認為你的麥克風是關著的。
另一種更加惡劣，如果你的計算機配有攝像頭，攻擊者可以利用它捕獲在你計算機前發生的任何畫面，
即便你認為你的攝像頭是關著的，無論白天或黑夜。
專業術語
惡意軟件：一種危害性的程序，例如病毒、蠕蟲，或是木馬。
米特尼克信箱
小心那些提供禮物的偽裝者，否則你的公司很可能會遭受與特洛伊城相同的命運。
一旦發現可疑跡象，一定要採取保護措施。
有些喜歡惡作劇的黑客可能會在你的計算機上運行一些騷擾程序，如彈開你的光驅、
最小化你的當前窗口，或者用最大的音量在半夜播放一聲尖叫。雖然這樣的伎倆沒有什麼意思，
尤其當你完成工作或準備睡覺時，但至少這些惡作劇不會帶來真正的損失。
朋友的消息
也許情況會變得更糟，儘管你已經處處小心。想像一下：你已經決定不再冒險，
不再從你不知道和信任的站點下載文件，除了那些可靠的站點，如安全焦點(SecurityFocus.com)和
亞馬遜(Amazon)。你不再點擊不知其來源的郵件鏈接，不再打開陌生的郵件附件，並檢查你瀏覽器的
安全標誌，以確定你訪問的電子商務或交換秘密信息的站點的安全性。
這樣，有一天，你收到一封朋友或商業合作夥伴的帶著附件的郵件。這封來自熟人的信不會有危險吧？
即使有危險，你也知道該找誰承擔。於是，你打開了附件……轟！你又中了蠕蟲或是木馬。
為什麼你的熟人會這樣做呢？事情並不象表面上那樣。
事實是,進入到某人計算機上的蠕蟲會根據所進入計算機上的地址薄,自動的把自身發給地址薄中的每一個人。
這樣，每一個中了此蠕蟲的計算機都會傳給其地址薄上的所有熟人，蠕蟲就這樣不斷地繁殖，
如同在水塘中擲 下一塊石頭而產生的波紋。
這種手段之所以有效在於它結合了兩個方法：一是在沒有戒心的受害者中傳播，二是以熟人的面目出現。
米特尼克信箱
人類發明了許多奇妙的方法，以改變世界和我們的生活方式。但每一種帶來的進步的科技，
無論是計算機、電話還是互聯網，總會有人利用它做壞事，以滿足自己的私慾。
目前的科學技術處於這樣一種狀態，你在收到熟人的郵件之後仍然要確定它是否安全，
是否可以打開，這真是一件令人悲哀的事。
主題變奏
在這個互聯網時代，有一種騙局可以誘使你進入一個你並不想去的站點，
這經常發生，並且有很多種方法。這個典型例子基於一個發生在互聯網上的真實故事。
聖誕快樂
埃德加（Edgar）是一個已退休的保險銷售商，一天他收到一封來自貝寶（PayPal，提供方便快捷的在線支付公司）的郵件。這種服務對於一個在某地或是某個國家從不熟悉的商家購物時，尤其方便。
貝寶會直接把從買家的信息卡中把錢轉到賣家的賬戶。
埃德加是一個古董瓶的收藏者，通過在線拍賣公司eBay做過許多網上交易。
他經常使用貝寶，有時一個星期就用數次。於是，埃德加對這封2001年聖誕節期間，
像是來自貝寶公司的郵件很感興趣，這封郵件是一封升級他的貝寶賬戶的獎勵郵件。信中寫道：
節日問候！貝寶高級用戶：
新年將至，貝寶將往您的賬戶上劃入5美元，你只需在2002年1月1日前，到貝寶安全站點,確認這5美元
是做為升級你的賬戶信息所用即可。新年新氣象，升級您的賬戶，以延續您在貝寶的記錄，同時方便我們以優質的服務繼續為您提供有價值的客戶服務。立即升級賬戶並馬上接收5美元，
請點擊：http://www. Paypa1 -secure. com/cgi bin 謝謝您使用貝寶和對我們的支持！聖誕快樂，新年愉快！
貝寶
電子商務網站
你也許知道，人們不大願意在網上購物，即便是亞馬遜、eBay，或象老海軍（Old Navy）、
塔吉特(Target)、耐克這樣的這樣名牌公司和網站。從某方面來看，他們的戒心無可非議。
如果你的瀏覽器使用現在的128位加密標準，那麼你從計算機上發往任意一個安全站點的信息都是經過加密的． 這些數據經過大量的努力理論上可以被解密，但更可能的是在正常的時間內無法解密，
除非是國家安全部（但誰也沒聽說過，國家安全部對盜竊美國公民的信息卡號.....
以及誰定購了色情錄像或情趣內衣感興趣）。
這些加密信息實際上可以被任何有時間有才智的人所破解。
但是，許多電子商務公司把他們的客戶信息未經加密的存儲在數據庫中，在這種情況下，
再去耗費巨大的精力去破解一個信用卡號會是多麼的愚蠢。更糟糕的是，有許多使用特定SQL數據庫軟件
的電子商務公司都會犯這樣的錯誤：他們從未改變過數據庫系統管理員的默認口令。
他們安裝數據庫時，系統口令默認是空口令，於是它就一直空著。
所以，這個數據庫裡面的內容，對於互聯網上任何嘗試連接這個數據庫服務器的人都是唾手可得的。
這些站點始終都處在被攻擊並且信息會被竊取的危險下，而無需複雜的手段。
另一方面，那些不願在網上購物的人擔心他們的信用卡信息被盜。但他們卻不在意去真實的商店購物，
吃午飯、晚飯，甚至去偏僻街道的小酒館等一樣可以用信用卡付費的地方~~~~
即便這些地方總是有人偷取信用卡的收據，有時收據還會從垃圾箱中被人找出。
還有一些道德敗壞的店員服務生會偷偷記下你的名字和卡號，或使用很容易就在網上買到的盜卡裝置，
來存儲在它上面刷過的信用卡數據，以備日後使用。
在線購物有些冒險，但也可能和在真實的商店購物一樣安全。當你在網上使用信用卡時，
信用卡公司為你提供相同的保護。如果發生欺詐性收費，你的賬戶只會損失頭一筆交易的50美元。
因此我認為，對網上購物的恐懼只是另一種錯誤的擔心。
埃德加沒有注意到郵件中的幾個不對勁的地方，如抬頭的分號，混亂的用詞
（我們以優質的服務繼續為您提供有價值的客戶服務）。
他點擊了鏈接，輸入姓名、地址、電話號碼和信用卡等信息，然後靜靜地等待5美元的到來。
但他等來的只會是一堆他從未購買過的商品賬單。
過程分析
埃德加被互聯網上司空見慣的騙局所欺騙，這種騙局有多種形式，其中一種（詳見第九章）
有著與真正網站一樣的界面，看起來真實可信。不同之處在於冒充的頁面不會到達用戶真正想訪問的系統，
而是會把他的用戶名和口令發給黑客。埃德加被騙了，對方註冊了一個域名為paypal-secure.com的網站，
看上去如同貝寶的一個安全頁面。當他在這個頁面輸入個人信息時，黑客們便得逞了。
米特尼克信箱
當沒有安全保證時,無論什麼時候訪問一個需要輸入個人信息的網站時,
一定要確認當前鏈接是可信和加密的。
更需注意的是，不要順其自然地點擊對話框中的“yes”，尤其是有安全提示的對話框，
比如無效、過期或廢除的數字證書的提示。
變奏之變奏
究竟有多少多種方法可以騙取人們在假冒的網站輸入他們的機密信息？
我不認為大家對此有一個統一的答案，但無疑是越來越多。
不明鏈接
一種常見的手法：發送一封具有誘惑力的郵件，提供一個鏈接。
它並不會帶你到想去的站點，它只是看起來像那個的站點的鏈接。
另一個已經在互聯網上應用的例子是，用paypa1模仿paypal。
乍一看來，像是貝寶的域名。即便受害人注意到這一點，他也可能會以為只是一個文本上的小錯誤，
把1當成l了。而誰又會立刻注意到那是一個數字1而不是小寫的L呢？
就這樣，有很多的人失去了信用卡上的錢，而這個詐騙手段得以繼續。假冒網站做的跟真得一樣，
當人們訪問時，便輕率地輸入他們的信用卡上的信息。
建立這樣一種行騙的機制，攻擊者只需註冊一個用來冒充的域名，發出電子郵件，然後等待那些傻鳥們上鉤。
2002年，我收到一封標著來自Ebay@ebay.com的郵件，很明顯這是一個群發性質的郵件。
見圖8.1，（譯者注：我的電子書中看不到這張圖。）這樣的鏈接應該注意。
-------------------
親愛的eBay用戶，很明顯您的eBay賬戶被第三方所影響並違犯了我們下面的用戶協定條款：
4.招投標
用戶如果通過固定價格或成為最高價競買人，並經銷售方同意，則有義務與銷售方一起完成此項交易，
否則此項交易會被本協定或法律終止。
您之所以收到此通知是因為您當前賬戶服務的中斷引起了我們的注意，eBay方面需要立刻驗證你的賬戶，
請驗證您的賬戶以免賬戶被封。點擊此處驗證你的賬戶――http://error ebay.tripod.com
商標設計和標誌為各自擁有者所有，eBay以及eBay圖標為eBay有限公司的註冊商標。
-----------------
點擊這個鏈接的人會來到一個很像eBay網站的頁面，設計精美，帶有eBay的圖標，令人可信。
而且，如果點擊頁面上的“瀏覽”、“出售”等一些導航鏈接，可將訪問者帶到真正的eBay站點。
頁面的右下角也有一個安全的圖標，為了防止精明的用戶發現馬腳，仿造者甚至使用HTML加密
來掩蓋用戶信息的發送地。
這是一個極好的基於計算機進行社會工程學攻擊的例子。然而，它也有著一些漏洞。
內容上文筆較差，尤其是在最後一段的開頭“您之所以收到此通知”，這即拗口也用詞不當
（實施這些騙局的人才不會雇用一個專業編輯人員來修飾這些內容）。
此外，任何一個認真的人都會對eBay索取訪問者的貝寶賬戶信息感到懷疑，
eBay有什麼理由能向用戶索取用戶在另外的公司中註冊的私人信息呢。
而且如果對於互聯網很熟悉的人來說，很可能會發現這個鏈接並不是eBay的域名，而是tripod.com
（一個提供免費主頁的網站），這無疑是一封非法的郵件。
然而，我打賭還是會有很多人在這樣的頁面上輸入他們的個人信息，包括信息卡號。
註：
為什麼人們可以註冊欺騙性和不合適的域名？現行的法律和互聯網政策規定，
任何人都可以註冊任何未經使用的網站名稱。有些公司進行維權以抵制那些冒充者，
但結果並不理想。
通用（美國著名汽車公司――generalmotors.com）對一個域名為*****generalmotors.com的網站提出訴訟，
通用敗訴。
保持警覺
作為互聯網的個人用戶，我們所有的人都應該保持警覺，當鍵入個人信息，
如口令、賬戶或PIN碼等信息時,要對目前情況有清醒的認識。
你的熟人當中，有多少人能保證他在瀏覽的頁面是安全頁面？你公司的員工又有多少人知道該如何做？
每個使用互聯網的用戶都應該認識那個經常出現在網頁上的像一個小掛鎖樣的圖標，當掛扣合上的時候，
站點則是安全的。如果掛扣打開著，或是就沒有掛鎖圖樣，這個站點就不能被確認是可信的，
在上面傳送的任何信息都可能處於危險之中（信息未被加密）。
然而，一個危及計算機管理員權限的攻擊者可能會更改操作系統代碼，甚至為其打上補丁，
以掩飾計算機已受到攻擊的真相。
比如，可以繞過瀏覽器中的程序對顯示某站點的數字證書是否失效的檢測。
再比如，系統可能會被植入rootkit，安裝一個或多個很難檢測出來的系統級別的後門。
安全連接可以保證站點的真實性，並對傳輸的信息進行加密。因此，一個攻擊者便無法利用他攔截的信息。
可以信任一個已經使用加密連接的站點麼？
不，因為這個網站的站長並沒有隨時為網站打上必要的安全補丁，
因此不能假定任何安全站點都可以對攻擊免疫。
專業術語
後門：在用戶不知道的情況下進入用房計算機的一個隱蔽入口。
編程人員在開發軟件時，也會用其來進入程序以解決問題。安全超文本傳輸協議（HTTP）
或安全套接層協議（SSL）提供一個使用數字證書的自動機制，不僅可以加密發送到遠端站點的信息，
還可以對其進行認證（保證所連接的站點是真實可信的）。
然而，這種保護機制對於那些疏於檢驗地址欄中的網址是否為他們想訪問站點的用戶是無效的。
還有一個極容易被忽視的安全問題，彈出類似這樣的消息框：
“此站點非安全站點或安全證書已過期，您是否還要繼續訪問？”
許多互聯網用戶並不清楚它的具體含義，於是他們直接點擊“確定”或“是”來繼續他們的訪問，
而沒有意識到可能已處於危險之中。
警告：在沒有使用安全協議的站點上，一定不要輸入個人的敏感信息，
如地址、電話、信息卡號或銀行賬號，或者是任何你不想泄露的私人信息。
托馬斯•傑佛遜（譯者注：Thomas Jefferson 美國第三任總統，《獨立宣言》的起草人）說過，
保持自由需要“永遠的警惕”。在一個視信息為流通貨幣的社會，要保護個人隱私和安全同樣如此。
了解病毒
一個對病毒軟件的特殊提示：不僅是對企業內網的用戶，而且對每一個計算機用戶都是必要的。
不要只是把防病毒軟件裝在機器上，還要讓其時刻運行（許多人不喜歡這樣做，因為會降低計算機的性能）。
另外一個需要謹記的是：保持病毒庫的更新。除非你的企業負責為每個員工更新軟件和病毒庫，
否則自己一定要承擔起下載最新病毒庫的義務。
我個人建議每個人都對防病毒軟件的更新功能進行設置，以使軟件可以每天自動更新病毒庫。
專業術語
安全套接層協議：網景開發的用於互聯網上客戶與服務器端的安全認證協議。
經常性的更新病毒庫可以基本保證計算機的安全性，但這並不足以完全保證安全，
還有一些病毒或蠕蟲是防病毒軟件公司未知的，因此相應的保護程序也就沒有發布。
所有有著遠程訪問權限的用戶，至少要在筆記本電腦或家用電腦上升級防病毒軟件和防火墻。
老練的攻擊者會從整個系統中尋找到最弱點而發起攻擊。
因此需要時常提醒那些有著遠程訪問權限的用戶，激活防病毒軟件、升級他們的防火墻
是共同的安全防範責任。
因為你無法指望一個工作人員、主管人員、銷售人員，或其他IT部門的人，
會時刻記得如果他們的計算機沒有保護而發生的危險性。
除此之外，我還強烈推薦不常使用但的確重要的防特洛伊木馬的軟件。
在寫作這本書期間，已經有兩個為人所熟知的防木馬程序，
The Cleaner(www.moosoft.com)和Trojan Defense Sweep(www.diamondcs.com.au)。
最後，對於那些沒有在企業網關上做危險郵件掃描的公司來說，可能是最重要的安全提醒：
由於我們習慣於忘記或忽略那些與完成工作不直接相關的事，因此需要反覆地以不同的方式提醒員工，
不要打開陌生郵件的附件。
管理部門也要提醒員工激活防病毒和防木馬軟件，以防範那些看似可以信任但實則會帶來危害的郵件。
|
評分
-
查看全部評分
|
[複製鏈接]
發表於 2012-12-12 10:20
|
樓主|
發表於 2012-12-12 12:26
|
發表於 2012-12-12 16:05
|
狗仔卡
發表於 2012-12-12 09:20
