用途
社会工程学渗透测试通过受控模拟真实世界的欺骗技术，评估组织的人员攻击面。据 Verizon DBIR 2024，约 68% 的泄露事件涉及人为因素，钓鱼仍是主要的初始访问途径。该技能覆盖钓鱼、语音钓鱼（vishing）、短信钓鱼（smishing）和物理 pretexting 活动，使用 GoPhish、Social Engineer Toolkit（SET）和 Evilginx 等工具。
适用时机
- 开展涉及社会工程学渗透测试的安全评估时
- 遵循相关安全事件的事件响应流程时
- 执行计划性安全测试或审计活动时
- 通过动手测试验证安全控制时
前置条件
- 高级管理层（CISO/CTO）的书面授权
- 法律审查确认符合当地法律（CFAA、GDPR 等）
- 明确范围：目标员工群体、攻击类型、排除项
- GoPhish 服务器、用于钓鱼基础设施的域名、VPS
- OSINT 工具：Maltego、theHarvester、LinkedIn 抓取工具
- 与 HR 和法律部门协调测试后的员工通知
阶段 1 — OSINT 与目标画像
员工侦察包括：使用 theHarvester 收集邮箱；通过 LinkedIn 等收集姓名、角色、部门、邮箱格式；识别新员工、IT 管理员、财务团队、高管；发现邮箱格式（first.last@、flast@、firstl@）并用 hunter.io、phonebook.cz、email-checker.net 验证；社交媒体 OSINT（Twitter/X、Facebook、GitHub）；域名情报（MX、TXT 记录，检查 SPF、DKIM、DMARC，弱 DMARC 更易伪造邮件）；在授权下检查泄露数据库（HaveIBeenPwned API）。
目标选择矩阵示例：财务（15 人，发票审批 pretext，钓鱼凭证收集）、IT 帮助台（8 人，密码重置，vishing）、高管（5 人，董事会更新，鱼叉钓鱼）、新员工（<90 天，12 人，HR 入职表单，钓鱼载荷）、全体员工（200 人，IT 安全更新，广撒网钓鱼）。
阶段 2 — 钓鱼活动
基础设施搭建：注册相似域名（如 targetcorp.com -> targetc0rp.com、targetcorp-secure.com、targetcorp.net）；安装并配置 GoPhish（sudo apt install gophish，编辑 config.json 设置管理端和钓鱼服务器端口）；配置发送配置文件（SMTP 服务器、发件人、为攻击域名配置正确的 DKIM/SPF 头）；创建凭证收集落地页（克隆合法登录页如 Office 365、Okta，启用 Capture Credentials、Capture Passwords，捕获后重定向到真实站点）；设置 Evilginx 绕过 MFA（仅限授权测试）。
GoPhish 活动配置示例（JSON）包含活动名称、模板（主题、HTML、发件人）、落地页、发送配置文件、目标组、启动与发送截止时间。
钓鱼邮件模板按 pretext 分类，例如 IT 安全更新（要求重置密码，附钓鱼链接，威胁账户暂停）和财务发票（要求审批发票，附钓鱼链接）。
阶段 3 — 语音钓鱼活动
提供呼叫脚本模板，pretext 为 IT 帮助台致电关于可疑登录，逐步引导目标确认身份、提供员工 ID 和邮箱，并发送验证链接要求输入凭证。
需跟踪的 vishing 指标：电话接听、参与对话、信息披露、链接点击、凭证输入、上报安全。
阶段 4 — 物理社会工程
物理 pretexting 场景包括：快递员（携带标有高管姓名的包裹，请求亲自送达，尝试尾随进入安全门，在公共区域丢弃 USB 驱动器）；IT 供应商（佩戴打印的供应商徽章，声称对网络机柜进行计划维护，尝试进入服务器机房，若获得访问则安装流氓无线 AP）；新员工（声称第一天入职，请求临时徽章，尝试进入限制区域，拍摄敏感屏幕/文件）。
证据收集：随身摄像头（若法律允许且授权）、访问区域照片、流氓 AP 的 WiFi 探测、绕过门/检查点的记录。
阶段 5 — 指标与分析
活动结果仪表板示例：钓鱼活动（发送 200 封，送达 195 封 97.5%，打开 142 封 72.8%，点击链接 68 封 34.9%，提交凭证 31 封 15.9%，MFA 绕过 8 封 4.1%，上报 SOC 12 封 6.2%，无操作 53 封 27.2%）；vishing 活动（拨打 23 通，接听 18 通 78.3%，参与对话 15 通 65.2%，信息披露 9 通 39.1%，提供凭证 4 通 17.4%，上报安全 2 通 8.7%）；物理评估（尾随成功 3/5 次，USB 插入 2/10 个，进入限制区域 2/4 次，被员工质疑 1 次）。
风险评分示例：钓鱼（凭证收集）成功率 15.9%，风险高，优先级 P1；vishing（信息披露）39.1%，严重，P1；物理尾随 60%，高，P2；USB 丢弃 20%，中，P3；鱼叉钓鱼（高管）40%，严重，P1。
阶段 6 — 报告与建议
修复优先级示例：P1 部署抗钓鱼 MFA（FIDO2/WebAuthn）30 天；P1 实施针对性安全意识培训 14 天；P1 部署带 URL 重写的邮件网关 30 天；P2 加强物理访问控制（防尾随门、访客徽章）60 天；P2 实施各部门安全冠军计划 30 天；P3 部署 USB 设备控制策略 30 天；P3 在邮件客户端建立钓鱼上报按钮 14 天。
工具参考
- GoPhish：钓鱼活动管理平台
- Evilginx2：通过反向代理钓鱼绕过 MFA
- Social Engineer Toolkit（SET）：社会工程攻击框架
- Maltego：OSINT 与关系映射
- theHarvester：邮箱与域名 OSINT
- King Phisher：钓鱼活动工具
- Modlishka：用于凭证拦截的反向代理
限制
该技能要求书面授权和法律审查，仅限授权测试使用。资料未提供具体收费、价格或平台信息。