釣魚 釣魚郵件——0x00釣魚方式常見的方式

隨著近年來攻防演練的不斷推進，保衛目標單位的安全裝備層層堆疊，網絡邊界的防御能力大大增強，攻擊者利用常規漏洞的難度大大增加。

釣魚攻擊應運而生，經過近兩年的不斷演練打磨，雖然防御者的安全意識有所提高，但攻擊者的社工經驗卻更加豐富，釣魚攻擊手段也更加先進、新穎。

前段時間，我參加了一次以防御者視角的大型演練，有人說傳統的基于郵件的釣魚已經過時了，其實不然，其實傳統的郵件釣魚還是不錯的突破口。演練過程中，我收到了琳瑯滿目的釣魚郵件，以及各式各樣的釣魚樣本，著實讓人驚嘆不已。由于之前沒有接觸過釣魚相關的內容，所以在這里學習和做筆記，如果有不妥之處，還請指正。

0x01釣魚方法

常見的釣魚方法有以下幾種：

電子郵件釣魚：

郵件釣魚是向受害者發送精心設計的釣魚頁面或木馬文件，誘騙目標用戶點擊惡意文件或輸入自己的敏感信息。

目前最常見的手段還是郵件釣魚，通過多種樣本制作方式釣魚，防范難度較大，本文以郵件釣魚為核心進行研究和記錄。

郵件釣魚簡單可以分為鏈接釣魚和附件釣魚：

鏈接釣魚：攻擊者在郵件中嵌入釣魚鏈接，引導釣魚者點擊鏈接，直達虛假的釣魚網站或鏈接。

附件釣魚：攻擊者將病毒等文件保存在附件中，常見的附件有PDF、Doc、Excel、md等。

社交媒體網絡釣魚：

根據前期收集的信息，將惡意木馬文件偽裝成簡歷、錄用通知、工作資料等文件，并通過各類社交軟件誘導目標上網點擊。

無線網絡釣魚：

例如，利用模仿目標組織的釣魚頁面，誘騙用戶登錄并竊取其登錄賬戶密碼等敏感信息。

二維碼釣魚：

攻擊者將合法的二維碼替換為假的二維碼，篡改登錄網站的URL信息，將用戶引導至虛假的登錄頁面，由于部分用戶掃碼后并不會顯示URL鏈接，因此落入陷阱的情況并不罕見。

假基站：

通過偽裝成普通商業電話號碼的虛假基站，

Tags：釣魚 釣魚郵件 郵件 戶外運動