مهندسی اجتماعی در واقع هنر متقاعد کردن قربانی برای آشکار سازی اطلاعات می باشد که افراد help desk و مدیران سیستم را در بر می گیرد. اگر افراد نسبت به ارزش اطلاعات خود غافل باشند این تکنیک بر روی آنها اثر بیشتری دارد. مهاجمان با استفاده از این تکنیک می توانند به اطلاعات مهمی از سیستم دسترسی پیدا کنند و در زمان مناسب به سیستم نفوذ کنند.
این تکنیک می تواند به صورت human base باشد که از اثر متقابل انسانها بر روی هم استفاده می کند تا اطلاعات مهم را مهاجم به دست آورد یا به صورت computer base است که مهاجم از نرم افزار های کامپیوتری استفاده می کند تا اطلاعات مهم را استخراج کند.
تکنیک های تست و نفوذ برای مهندسی اجتماعی به صورت زیر است:
• به دست آوردن اطلاعت کاربران و کارمندان سازمان و همچنین سطح دسترسی آنها
• جمع آوری آدرس ایمیل، شماره کارکنان سازمان با استفاده از تکنیک های dumpster diving ,email guessing و..
• به دست آوردن اطلاعات مفید از کارکنان سازمان با استفاده از تکنیک foot printing
• ایجاد script با استفاده از اطلاعات جمع آوری شده
• به بهانه موقعیت های ضروری می توان به کارکنان سازمان ایمیل زده شود و خود را مدیر شبکه معرفی کرد و اطلاعات شخصی را که شامل نام کاربری و رمز عبور است به دست آورد.
• می توان به کارکنان سازمان ایمیل حاوی پیوست های مخرب را ارسال کرد تا بتوان رفتار های آنها را با فایل پیوست شده monitor کرد که در این زمینه از ابزارهای read notify می توان بهره برد.
• ارسال ایمیل فیشنگ که می تواند کاربران را به سمت وب سایت های مخرب هدایت کند و مهاجم درآنجا اطلاعات مفید را جمع آوری کند
• می توان با قربانی به عنوان مدیر فنی تماس تلفنی گرفت و اطلاعات مفید را مانند نام کاربری و رمز عبور به دست آورد.
• استفاده از تکنیک shoulder surfing تا بتوان زمانی که کاربر پشت سیستم است بدون اینکه او متوجه شود از پشت سر به اطلاعاتی که وارد سیستم می کند پی برد.
• می توان از ابزار social engineer Toolkit که به صورت open source است استفاده کرد

منبع:

Sean- Philip Orivano,”CEH V9,Certified Ethical Hacker Version 9”, SYBEX publisher, 2016