QQ的破解与反破解—社会工程学在信息安全中的具体应用

最近研究信息安全方面，发现人其实是最大的弱点，一般以上的安全事件是认为引起的，再先进的技术，如果管理策略和流程松散，攻击者也能很容易找到破解口，即最坚固的堡垒往往都是从内部攻破。”三分技术、七分管理”这句话在安全领域再正确不过了。
看到了两个例子，一个是QQ的破解，一个是QQ的找回，很形象地解释了社会工程学的应用，第一个很轻松地利用了MM容易接近，轻信人而被套出了破解信息。第二个则利用了盗QQ者的欲望，通过进入钓鱼网站充Q币，结果把密码给泄漏了。
第一个，
      这是我以前时和一位GG的聊天记录，记录了我套取他详细资料和破解信箱的全过程，希望可对大家有所帮助。我使用的这个MM的号可是货真价实MM的哟（也是破解来的，呵呵）如果有人想帮那位GG找我算帐，可别找错人了！
实战开始！
前面一大段客套的废话略去．．．．．．
2000-01-17 02:16:24 风之舞
你的ＱＱ资料很简单啊，怎么连你的信箱都没有？
2000-01-17 02:17:24 小白
你想给我写信？
2000-01-17 02:17:55 风之舞
是呀，怎么不可以吗？
2000-01-17 02:18:46 小白
当然可以！我的信箱是ＸＸＸＸＸＸ@ＸＸＸ.ＸＸＸ
（因为大家都知道的原因，这就不公开了，呵呵）
2000-01-17 02:19:48 风之舞
我记下啦，我会给你写信的
（其实我现在已经打开了溯雪，输入了他的用户名，准备生日验证了）
2000-01-17 02:20:54 小白
谢谢
（之后略去一小段的废话）
2000-01-17 02:26:39 风之舞
你今年多大了呢？
2000-01-17 02:27:53 小白
22，你呢？
2000-01-17 02:27:40 风之舞
我十九，你真的是二十二吗？那和我哥哥一样大了。
2000-01-17 02:28:19 小白
你哥哥？？
2000-01-17 02:29:26 风之舞
是啊，我的一个堂哥，他也是二十二，四月生日
2000-01-17 02:30:17 小白
哦，他还比我小一个月呢
（呵呵，轻松知道了年和月,破解就很轻松了。）
在溯雪中设定BIRTH_YEAR为1978,1979；BIRTH_MOUTH为3，BIRTH_DAY使用溯雪自带的
DAY密码本，设定错误标识为Birthday match，两分钟后测出正确生日为1979.03.12，通过生日验证，哎，问题居然是5=4+7,这...这是个什么鬼问题？看来还得去碰运气。
2000-01-17 02:42:53 风之舞
５５５５５５５５５５５５５
2000-01-17 02:43:38 小白
哎，你怎么了？
2000-01-17 02:44:15 小白
快说呀！
2000-01-17 02:44:26 风之舞
有人说我是笨笨！５５５５５５５５５
2000-01-17 02:45:09 小白
哈哈，为什么？
2000-01-17 02:46:30 风之舞
他问我４５７是什么意思，我回答不知道，他就说我。。。。。。
（为防止他起疑心，把数字打乱了再问，反正只要知道各个数字是什么意思就行了）
2000-01-17 02:47:24 小白
457？好象是没什么意思啊！547还有
（哈哈，看来有门）
2000-01-17 02:48:34 风之舞
是吗？那快告诉我，求你了！
2000-01-17 02:49:44 小白
5是我，47是自己,547就是我自己
2000-01-17 02:51:22 风之舞
是这样啊，我明白了，谢谢。。。哎，我还不知道哥哥叫什么名字呢。
2000-01-17 02:52:44 小白
哦，我叫XX，你呢？
（隐去真名）
2000-01-17 02:53:42 风之舞
谢谢XX哥哥，我叫蓝昕
（随便编了一个，反正骗死人不偿命）
2000-01-17 02:54:40 小白
呵呵，不用谢！你的名字很好听啊！
2000-01-17 02:55:18 风之舞
是吗？
2000-01-17 02:56:07 风之舞
XX哥哥，我要下了，以后再聊好吗？
（想知道的都知道了，该走人了）
2000-01-17 02:57:13 小白
是啊！
哦，那好吧，再见！
2000-01-17 02:57:48 风之舞
８８６
2000-01-17 02:58:15 小白
88 ＯＫ！连问题答案都知道了，信箱再破不了也实在是太。。。。。。。
这就是我今天的一次实战记录，怎么样？够详细了吧！？呵呵
虽然从记录情况来看，所用时间长了一点，但别忘了，QQ可不是只能和一个人聊天的哦，我从2：00开始至3：30结束，共取到了十二位GG，DD的详细资料，至4：40成功破解的信箱共计十七个（包括同一人信箱的连环破解），平均十分钟破解一个，这样看速度还可以吧？
还要提醒大家的是，信箱解密进入后别忘了看看信箱内的地址本，有些GG，DD的地址本中的MM资料比问到的要详细多了！
第二个，
下班回家洗衣服..MM打电话来哭着说QQ被盗..要我一定把QQ盗来..开始没怎么肯定..就说我看看把..然后洗衣服去了..后来看了一眼..盗号者上线了..看了那么久的社会工程学的资料了..现在也是大显身手的时候了..
以下是我和盗号者的聊天记录抓图..其中"&★︴星★"是我另一个号..康曼是我朋友的号..现在是盗号者在上





其中帐户余额:50QQ币是我改的一个假的..当时没来及怎么改..很假..估计很多人都能看出来..谁知道那SB竟然也相信了,,我假说我冲了50..他还想冲100..比我还贪啊..



到这一步的时候..我已经拿到了密码并修改掉...终止了对话



这个其实是个钓鱼的程序..我在我BLOG也发过的..
后来盗号者登陆了我发给他的网站..
开始所谓的"冲QQ币"..我去后台看了下..两个QQ和密码.看了下资料是吉林的..估计就是盗号这本人的资料了..



然后用他的密码..去猜朋友的密码..猜出密码为wangpeng52是他本人的密码.小写的..哈
立即改密码..然后把他的密码也改了..上QQ改了他资料算是给个警告了...
总结:利用了盗号者的贪心..用QQ币去诱惑他..而且他还两个号都冲..哈结果两个号都被我给盗了.运气比较好.