突破物理安全防线：社交工程实战攻防演练

作者：Sally Vandeven
2016年9月8日
分类：物理渗透测试，红队演练

引言

某天我意外获得空闲时间（项目经理并不知情），决定撰写一篇技术博客。当询问同事期望的主题时，两人不约而同提出相同建议：分享我们执行的物理渗透测试案例。这无疑是个绝妙的主意——既充满趣味性，又具备实战价值。

企业委托我们测试其网络安全防护体系。从宏观视角看，计算机安全的核心在于访问控制：阻止恶意入侵，防止数据泄露。在安全行业，我们已达成共识：安全事件必然发生，因此需要兼顾预防与检测。

虽然安全工程师、审计员和渗透测试员目标一致——提升企业安全水平，但作为渗透测试员，我们的职责是以受控方式演示风险。相较于口头告知"未打补丁可能造成的后果"，我们更倾向于直接展示攻击路径。这对犹豫是否投资安全项目的管理者尤为震撼，物理访问攻击演示更是如此。

某次与同事执行物理渗透测试时，客户要求仅使用社交工程技术进入大楼——禁止锁具破解和门禁卡克隆。该建筑具有以下安全措施：

这套体系看似固若金汤，但攻击者或渗透测试员却视其为易攻目标。关键在于：当你表现得像内部人员时，访问控制极易突破。

所有优质物理评估都始于侦察——俗称"踩点"。我们租赁不起眼的车辆前往目标地点，观察如何完美伪装。员工穿西装我们即着正装，员工佩戴工牌我们即仿制类似证件，唯一目标是融入环境。

本次评估中，我们发现员工使用特定颜色挂带的门禁卡。通过坐在员工入口附近的野餐桌观察进出人员，成功高精度仿制了门禁卡（非RFID克隆，仅用于视觉伪装）。尽管可能引起怀疑，但实际经验表明很少有人上前质问或报告。同时我们注意到：尽管门上明确禁止，员工仍允许他人尾随进入。

完成场地熟悉和道具准备后，我们开始行动。与远程网络评估不同，社交工程物理测试每人只有一次机会——一旦暴露即告失败。因此我们通常分头进入并保持独立行动。

本次行动中，我率先通过尾随进入。员工乐于为我扶门，原因在于：

进入建筑后的最初几分钟最为关键。通常我们不熟悉内部布局（除非提前获得平面图）。此时若显露出迷茫神态，极易引起怀疑。最有效的策略是自信地快速前进，营造"会议迟到"的紧迫感。

找到安静区域（走廊/会议室/卫生间/空置工位）后，立即通过短信联系同事并启动拍照时间线——定期拍摄照片记录行动路径。这些时间戳不仅帮助重建行动轨迹，供客户比对访问日志，还可能成为隐蔽撤离的"面包屑路径"。本次测试中，我们意外在建筑内部停留了数小时。

期间我发现建筑后方有个未报警的偏僻出口（虽有监控但警卫未实时监视）。通过短信引导同事至此，从内部开门使其进入（虽然也可尾随，但展示多种进入方式对客户更具价值）。

会合后我们分头寻找目标——数据中心。由于多数区域需刷卡进入，我们不得不持续尾随，包括使用电梯时遭遇意外状况：

进入空电梯后，发现控制面板配备RFID读卡器。尝试按键无响应（读卡器红灯亮起）。电梯门关闭后，连当前楼层按钮都失效，导致被困约10分钟。最终其他员工刷卡前往3楼时，我保持微笑自然同行，对方未注意到未亮起的楼层指示灯（表明我未刷卡），再次印证人们避免冲突的心理。

数小时搜索未果后，我们在 cafeteria 制定新计划：既然锁具破解和卡克隆超出范围，唯一可突破的访问控制就是"人件"。于是我们决定直接求助。

找到某楼层办公套间（通过多次"搭便车"抵达）后，向面善的接待员（非前台受过怀疑识别训练的那位）询问：“我们在找数据中心与人会面，但找不到位置，能指点方向吗？”

结果：对方礼貌地指出了准确位置！发现约见人未到场时，接待员主动提出联系，我们婉拒后致谢离开。现在只需思考如何进入。我们决定背水一战——直至成功进入或被抓获。

多次尝试说服他人开门后，安全部门接到警报并要求我们离开。值得一提的是，我们持有高管签署的授权书（含验证电话），但最终仅被要求离场。任务完成。

《突破硬件访问控制：物理渗透测试进阶篇》敬请期待！

阅读背景音乐推荐：Olivia Newton John的《Physical》