世界第一黑客凱文·米特尼克在《欺騙的藝術》中曾提到，人為因素才是安全的軟肋。對於黑客們來說，通過一個用戶名、一串數字、一串英文代碼，社會工程師就可以通過這麼幾條的線索，通過社工攻擊手段，加以篩選、整理，就能把你的所有個人情況信息、家庭狀況、興趣愛好、婚姻狀況、你在網上留下的一切痕跡等個人信息全部掌握得一清二楚。這裡我們可以看到信息的重要性。
這一次結合我的一個信息收集社工的案例，來和大家一起交流一下。同時也提醒大家提高自己的信息安全保護意識。
這次事件的開始，是我發現我所在的某個QQ群有了個新增的群友，頭像用的是一張父子圖片，根據以往的經驗，這類的用戶可能是突破口，再加上我一直以來想寫一下有關信息收集的文章，於是我心血來潮，想試試看能從這個人身上挖到什麼。
我首先看這個人的QQ空間，他這裡使用的是“回答問題“（提前設置好）來限制訪客，他的問題極其簡單（這裡就不展示了），類似“今天下雨，還是不下雨”這樣的問題，而答案，兩個都試一下就通過了，而QQ空間訪問權限驗證是，只要我通過驗證，即使我不和他加好友，也依舊可以查看他的空間信息。
我們會看到2017-10-26日的說說，
這個紅包就將這個人的姓名，職業，所在地暴露了。我們繼續看。
這個人，他在2014年的1月17日的時候，在空間裡發出了自己的手機號，百度號碼查詢得到是山西晉中中國移動的號碼，之後用微信查號碼，看到頭像大同小異，是同一個人。而且，也可以證實他在移動營業廳工作，我們繼續往下看。
我們看到他在2013年10月25日的時候，發了一個動態，下面有人回覆：上班去。
（這一條說明他至少在2013年10月25日之前就參加工作了）
下面還有人回覆：29號到太原，一起去吃飯。（還有一些敏感信息省略）
（這一條說明，他可能在太原上的大學，下面還有佐證）
2013年7月8日
他發表了一張圖片：不同專業就業難易程度
下面有好友對他說：我是相對困難的，終於還是你墊底了。
這裡我們看，墊底的三個專業分別是：通信類，法律類，醫學護理類。根據我們之前，看到的信息在移動工作，我們可以推測，他大學可能上的是通信類的專業。（先暫時不考慮不對口工作情況）
下一條，他在2013年7月3日發表說說：***太原很熱！
（這個我們可以推斷出他可能在2013年7月左右，在太原上大學/工作）
緊接著，2013年6月20日，有人對他說說評論：畢業了？他說：嗯。
（這一條我們可以得知他的畢業時間）
後面我們還發現他曾經用過的一個手機號，187********，號碼歸屬山西太原，這可能是他在大學時用的手機號。（這裡可以利用大學同學的身份，進行詐騙）
後面我們在相冊發現，他拍的校園一角
進行識別，便可以確定是哪一所大學，如果查不到，也不要灰心，根據之前得知的信息，山西高校，在知乎，百度貼吧，微博問一問，總有知道的人會告訴你。
最後得到了一些信息，不乏一些敏感的信息，我們到此為之。如果只是窺探別人的隱私，來滿足自己的好奇心，那麼這，就與我當初的想法相去甚遠了，我更希望大家能引起注意，提高自己的信息安全保護意識。要知道，你分享的每一個信息匯聚起來，就能準確的刻畫出一個人的數字畫像，有些時候這個數字畫像，精確到你可能都不敢相信。比如這個梁某，我們根據信息收集，知道了他的姓名，QQ號，網名，職業，居住地址，年齡，畢業學校以及畢業時間，現用的手機號以及曾用的手機號，以及是否婚配，有無孩子。等一系列的信息。有人會問，我把這些，分享給我的好友有什麼不對嗎，他們本來就應該知道呀。但是，我們每個人都無法保證，這些信息不會流向不法分子的手中，到了那個時候，他們可能會利用這些信息，裝成你的一個“熟悉又陌生“的同學，好友，來完成一些他們想要做的事情。
在瞭解瞭如何信息收集，以及信息洩露的危害，我們該怎麼防禦呢？舉個例子，我在看過這個人的空間後如法炮製，又看了其他人的空間，發現有些人連訪問限制都沒有（更危險），有些人是這樣的，可以保證自己的信息，是給有看的權限的人看的。像微信可以設置訪客權限，可以看近期一定期限的朋友圈。不會像QQ空間這裡一樣，一看到底。
還有有關手機號，社保號，身份證號之類的信息，拍照片的時候要注意對關鍵的信息打碼，還有如果遇到換手機號的場景，我們可以提醒好友，我換了新的號嗎，可以1個月或3個月（一定的週期），把敏感說說刪除。
關於網名，在起名字的時候不要暴露自己太多真實的信息，還有即使收到了大紅包，也不要把自己的信息洩露出來，記得打碼。
真正的安全，是儘可能把每一個步驟做到盡善盡美，只有步步把關才能真正把安全的軟肋變成安全的”肌肉“。
歡迎來安全脈搏查看更多的乾貨文章和我們一起交流互動哦！
脈搏地址：安全脈搏 | 分享技術，悅享品質
微博地址:Sina Visitor System
【注：安全脈搏所有文章未經許可，謝絕轉載】
閱讀更多 安全脈搏 的文章
