*** 钓鱼和鱼叉式 *** 钓鱼的区别_ *** 鱼叉式 *** 钓鱼攻击

垂钓系列（一）—— 漫谈钓鱼

在经历过N次技不如人，甘拜下风之后，是时候静下心来好好学习下钓鱼啦！接下来，我们便从常见鱼种、钓法、装备及技巧几方面了解下钓鱼！/手动狗头

攻击者利用欺骗性的电子邮件或伪造的 Web 站点等进行 *** 诈骗活动。

关于 *** 钓鱼的概念解读，我觉得越抽象越合适，它只是社会工程学的一个思想，传统的 *** 钓鱼一般无特定人群或对象，随着钓鱼技术和思路的发展，针对钓鱼手法、技巧、对象等衍生出大量分支叫法，但如果忽视这些，结果只有一个，PUA SUCCESS！

鱼叉式 *** 钓鱼相对于普通 *** 钓鱼，起攻击对象并非一般普通人，而是特定公司、组织之成员，故受窃之资讯已非一般 *** 钓鱼所窃取之个人资料，而是其他高度敏感性资料，如知识产权及商业机密。

也被成为捕鲸式钓鱼。鲸钓的目标多为特定公司、组织内的更高决策层，比如CEO，CFO等等。这些人可以获取非常有价值的信息，包括商业秘密和管理公司账户的密码。

鲸钓和鱼叉式 *** 钓鱼的区别在于，鲸钓只针对组织内的高级别人员，而鱼叉式 *** 钓鱼的目标是重要的组织，它可能会向该组织内的所有员工发钓鱼邮件，而不单单针对高层。

早在 2012 年，国外就有研究人员提出了“水坑攻击”的概念。这种攻击方式的命名受狮子等猛兽的狩猎方式启发。在捕猎时，狮子并不总是会主动出击，他们有时会埋伏水坑边上，等目标路过水坑停下来喝水的时候，就抓住时机展开攻击。这样的攻击成功率就很高，因为目标总是要到水坑“喝水”的。

水坑攻击时一种看似简单但成功率较高的 *** 攻击方式。攻击目标多为特定的团体（组织、行业、地区等）。攻击者首先通过猜测（或观察）确定这组目标经常访问的网站，然后入侵其中一个或多个网站，植入恶意软件。在目标访问该网站时，会被重定向到恶意网址或触发恶意软件执行，导致该组目标中部分成员甚至全部成员被感染，由于此种攻击借助了目标团体所信任的网站，攻击成功率很高，即便是那些对鱼叉攻击或其他形式的钓鱼攻击具有防护能力的团体。

虽然少有资料把水坑攻击放到钓鱼攻击一类，但我们通过对水坑攻击方式对解读可以看出，水坑攻击其实也可以算是鱼叉式钓鱼的一种延伸。

毕竟，谁说站在岸上的才叫渔夫？谁说污泥满身的不算英雄！

主要针对的是利用社交网站交友、婚恋的人群。攻击者在社交网站上创建虚假个人资料，欺骗交友者，进而骗财骗色骗感情，甚至窃取个人信息进行更多恶意活动。

所谓鲶鱼，有一个故事：为了让活鳕鱼在运输过程中保持新鲜和活力，人们一般会在鳕鱼群中放入一条鲶鱼（catfish）。因为鲶鱼是鳕鱼的天敌，为了躲避鲶鱼，鳕鱼会一直保持警惕，不会在死水中纹丝不动。

面对鲶鱼，没有一个鳕鱼会选择无视，而这也促成了Catfishing计划的推进！之前接触的一些诈骗案件，来自婚恋交友网站或者APP的占比还是挺高的。

以上分类按照钓鱼 *** 进行了简单的分类，倘若按照媒介分类的话，基站钓鱼、wifi钓鱼、badu *** 钓鱼、邮箱钓鱼、短信钓鱼等等等等，而且随着钓鱼技术的发展，在技术范畴上也一直在革新，如针对区块链的51% Attack等等，借本次垂钓系列，我们将在合法的范围内对主流垂钓技术展开一些技术探讨。

回顾一下自己的职业生涯，虽然一边说着不擅钓鱼，但仔细想来，钓鱼其实也一直在用，主要是围绕水坑攻击技术展开。在真实的攻击场景下，我们没必要徒增桎梏，所有的钓鱼思想和方案是可以并行的。

笔者性格也算腼腆，catfishing可能真的不太适合我，在如今的攻防演练盛行的时代，如何在合情合理合三观的实施社工，达成成果，这便是写本系列的初衷。

请问 *** 安全的攻击主要有哪些？

*** 安全攻击形式

一般入侵 *** 攻击 扫描技术 拒绝服务攻击技术 缓冲区溢出 后门技术 Sniffer技术 病毒木马

*** 安全技术，从 *** 服务器、 *** 地址转换、包过滤到数据加密 防攻击，防病毒木马等等。

实际工作中我们的结论，10%数据配置错误，30%线路质量差或者用户把断线自己接驳了。60%是路由惹的事儿，师傅哼哧哼哧上门了，去掉路由一试都是正常的。

主要是造成个人隐私泄露、失泄密、垃圾邮件和大规模拒绝服务攻击等，为了我们能顺利的遨游 *** ，才有了360、kav等杀软。人不裸跑，机不裸奔。

避免遭受电子钓鱼攻击最有效措施？

避免遭受电子钓鱼攻击最有效措施？没有人愿意相信他们会成为 *** 钓鱼攻击的牺牲品。然而， *** 钓鱼攻击正在上升，并且比以往更复杂。对于组织而言，利用高级安全技术（如用户身份验证，安全电子邮件网关和电子邮件身份验证防御）至关重要。不幸的是， *** 钓鱼诈骗继续进入电子邮件收件箱--Verizon透露，近30％的目标收件人打开了 *** 钓鱼电子邮件。

防止电子邮件 *** 钓鱼攻击的10种 ***

1.点击之前先想一想

*** 钓鱼电子邮件开始的日子已经一去不复返了“来自赞比亚被废王子的儿子的问候。”为了看起来合法，钓鱼邮件今天要复杂得多，甚至可能包含可能会引导您访问网站的链接看起来和原来一模一样。点击随机链接并不是一个聪明的举动。将鼠标悬停在它上面，看看它们是否会引导您进入正确的网站。更好的选择是完全避免链接并从安全的浏览器直接访问网站。

有些情况下， *** 犯罪分子可能会要求您通过点击链接来更改或确认您的详细信息。这是一个触及RBC的电子邮件骗局的例子。

2.期待意外

*** 钓鱼攻击通常伪装成某人所期望的文档或电子邮件 - 无论是银行记录，密码更改请求，用户订阅的电子邮件，还是来自公司IT部门的邮件。

确保在下载任何附件之前进行检查，特别是未经请求的电子邮件 - 更好的是，仔细检查发件人的电子邮件地址，并留意高风险的附件文件。VirusTotal是一个免费，方便的工具，可用于扫描附件中的病毒。有时，发件人的电子邮件地址可能与公司的官方电子邮件地址类似，用户可能无法抓住这一点。

3.掌握 *** 钓鱼技术

*** 犯罪分子总是希望将下一个骗局定制为尽可能真实和合法。如果不及时了解最新技术，您可能会成为其中的牺牲品。通过让自己了解情况，您很可能会尽早发现诈骗。 *** 专家强调，鱼叉式 *** 钓鱼攻击正在上升。虽然 *** 钓鱼诈骗通常针对大量受众，但希望其中一人成为受害者，鱼叉式 *** 钓鱼针对特定个人或一小群人。它们比其他人复杂得多，并且经常进行冒充攻击。这些电子邮件可能看起来像是来自可靠的公司平台，还包括高度个性化的上下文来欺骗接收者。

4.合法公司从不通过电子邮件询问敏感信息

永远不要通过电子邮件提供敏感信息，如果您收到要求您提供信用卡详细信息，税号，社会保障信息或任何其他敏感信息的电子邮件，那么这可能是一个骗局。如果需要数据，请确保直接通过安全 *** 登录网站并提交信息。



5.留意电子邮件域名

留意发件人的电子邮件地址 - 如果电子邮件地址似乎不是来自真实的公司提供的帐户，或者似乎与您之前从公司收到的电子邮件不一致，那么这是一个潜在的危险信号。这是一封非常令人信服的电子邮件，但仔细观察，电子邮件域名不合法。

6.注意语法错误

识别诈骗电子邮件的最简单 *** 之一是通过错误的语法。黑客并不愚蠢 - 他们的目标是瞄准那些不那么敏锐，往往没有受过教育的人，因为他们是更容易受害的人。

7.合法公司不会强迫您下载垃圾邮件

您可能会注意到，有些电子邮件会将您重定向到流氓网站或虚假网页，无论您单击何处 - 整个电子邮件都将是一个巨大的超链接，如果您点击电子邮件中的任何位置，它将自动下载垃圾邮件附件或打开不安全的网站。

8.检查链接的文本是否与合法URL匹配

仔细检查链接到文本的URL。如果它与显示的URL不同，则表示您可能被定向到您不想访问的网站。如果链接与电子邮件的上下文不匹配，请不要信任它。SSL的存在并不能告诉您有关站点合法性的任何信息，SSL/TLS证书将加密浏览器和服务器之间的连接，以避免黑客入侵。为了找到这个网站是否安全， 我们需要弄清楚如果从未知来源收到的URL，我们建议在点击之前交叉检查URL。

9.留意恐吓策略

即时财富的承诺或赢得数亿美元的彩票是大多数人习惯的常见策略。黑客通过提醒您采取时间敏感的行动来寻求利用您的焦虑或担忧，并最终让您提供敏感信息。诈骗者不仅仅是银行或信用卡提供商用作其 *** 钓鱼电子邮件的掩护。他们还会发送似乎来自美国国税局或其他 *** 机构的通知，以吓唬他们的目标放弃他们的信息。

10.安装反 *** 钓鱼工具栏

今天，大多数浏览器都支持反 *** 钓鱼工具栏，可以对您访问的网站进行快速检查，并将数据与已知 *** 钓鱼网页列表进行比较。无意中，如果您按照打开恶意网站的链接，工具栏将能够提醒您。

防病毒软件也是检测有害文件的绝佳工具。这些软件会扫描通过Internet传输到您设备上的所有文件。反间谍软件和防火墙设置还可以提供额外的安全层。

但是，没有万无一失的 *** 可以避免 *** 钓鱼诈骗或恶意攻击。在线诈骗继续发展。确保您使用强大的安全解决方案，以降低遭受 *** 钓鱼电子邮件攻击的风险。

社会工程学包含的鱼叉式 *** 钓鱼攻击向量的攻击思路是什么

赛门铁克的新研究表明，黑客如今尤其喜欢通过目标的电子邮件账号作为进入组织机构的切入点。

攻击者通过鱼叉邮件最喜欢攻击的是各个企业，占比高达5%，其次为金融机构，占比为14.7%，排名第三的是 *** 机构，占比为7.1%。从鱼叉邮件攻击地区知道，受攻击地区主要集中在亚洲、北美洲、欧洲，占比分别为8%、 23.1%、21.9%。

常见 *** 安全攻击有哪些

1、DoS和DDoS攻击

DoS是Denial of

Service的简称，即拒绝服务。单一的DoS攻击一般是采用一对一方式的，通过制造并发送大流量无用数据，造成通往被攻击主机的 *** 拥塞，耗尽其服务资源，致使被攻击主机无法正常和外界通信。

DDos全称Distributed Denial of Service，分布式拒绝服务攻击。攻击者可以伪造IP 地址，间接地增加攻击流量。通过伪造源 IP

地址，受害者会误认为存在大量主机与其通信。黑客还会利用IP 协议的缺陷,对一个或多个目标进行攻击,消耗 *** 带宽及系统资源,使合法用户无法得到正常服务。

2、MITM攻击

中间人类型的 *** 攻击是指 *** 安全漏洞，使得攻击者有可能窃听两个人、两个 *** 或计算机之间来回发送的数据信息。在MITM攻击中，所涉及的两方可能会觉得通信正常，但在消息到达目的地之前，中间人就非法修改或访问了消息。

3、 *** 钓鱼攻击

*** 钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息的一种攻击方式。

攻击者可能会将自己伪装成 *** 银行、在线零售商和信用卡公司等可信的品牌，骗取用户的私人信息。最常见的是向用户发送链接，通过欺骗用户下载病毒等恶意软件，或提供私人信息来完成诈骗。在许多情况下，目标可能没有意识到他们已被入侵，这使得攻击者可以在没有任何人怀疑恶意活动的情况下获取同一组织中更多的相关信息。

在打开的电子邮件类型和单击的链接时要格外留意电子邮件标题，检查回复和返回路径的参数。不要点击任何看起来可疑的东西，也不要在网上留下可以证明自己身份的任何资料，包括手机号码、身份证号、银行卡号码等。

4、鲸鱼 *** 钓鱼攻击

之所以如此命名，是因为它针对的是组织的大鱼。通常包括更高管理层或其他负责组织的人，这些人掌握着企业或其运营的专有信息，更有可能为了买断信息而支付赎金。

鲸鱼 *** 钓鱼攻击可以通过采取相同的预防措施来避免攻击，例如仔细检查电子邮件及其随附的附件和链接，留意可疑的目的地或参数。

5、鱼叉式 *** 钓鱼攻击

鱼叉式 *** 钓鱼攻击是指一种有针对性的 *** 钓鱼攻击，攻击者花时间研究他们的预期目标，通过编写与目标相关性极强的消息来完成攻击。通常鱼叉式 *** 钓鱼攻击使用电子邮件欺骗，电子邮件发送人可能是目标信任的人，例如社交 *** 中的个人、密友或商业伙伴，使得受害者难以发觉。

6、勒索软件

勒索软件是一种流行的木马，通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。这类用户数据资产包括文档、邮件、数据库、源代码、图片、压缩文件等多种文件。赎金形式包括真实货币、比特币或其它虚拟货币。

7、密码攻击

密码是大多数人访问验证的工具，因此找出目标的密码对黑客来说非常具有吸引力。攻击者可能试图拦截 *** 传输，以获取未经 *** 加密的密码。他们通过引导用户解决看似重要的问题来说服目标输入密码。

一些安全性较低的密码很容易被攻击者获取，例如“1234567”。此外，攻击者还经常使用暴力破解 *** 来猜测密码，即使用有关个人或其职位的基本信息来尝试猜测他们的密码。例如，通过组合用户的姓名、生日、周年纪念日或其他个人信息破译密码。

8、SQL注入攻击

SQL注入攻击是指后台数据库操作时，如果拼接外部参数到SQL语句中，就可能导致欺骗服务器执行恶意的SQL语句，造成数据泄露、删库、页面篡改等严重后果。按变量类型分为：数字型、字符型;按HTTP提交方式分为：GET注入、POST注入、cookie注入;按注入方式可分为：报错注入、盲注、堆叠注入等等。

鱼叉式 *** 钓鱼主要有哪几种类型

鱼叉式 *** 钓鱼（Spearphishing）指一种源于亚洲与东欧只针对特定目标进行攻击的 *** 钓鱼攻击。

由于鱼叉式 *** 钓鱼锁定之对象并非一般个人，而是特定公司、组织之成员，故受窃之资讯已非一般 *** 钓鱼所窃取之个人资料，而是其他高度敏感性资料，如智慧财产权及商业机密。

*** 钓鱼是指诱导人们连接那些黑客已经锁定的目标，这种攻击 *** 的成功率很高，也非常常见，点击链接、打开表格或者连接其他一些文件都会感染病毒。

一次简单的点击相当于为攻击者开启了一扇电子门，这样他就可以接触到你的内部弱点了。因为你已经同意他进入，他能够接触弱点，然后挖掘信息和授权连接。