上海市|挖掘 OSINT 金矿——实习生和社交媒体( 二 )

黑客的热门目标当实习生和新员工忙于工作时，他们渴望学习和亲自动手，那些看着他们的人也是如此。不幸的是，有大量外部的攻击者等待着单击右键并将这些在不同频道上共享的照片保存到名为“[XXX公司
OSINT资源”的文件夹中。
OSINT是开源情报的缩写，它通过社交媒体、博客文章、搜索引擎、新闻等公开的资源来搜索信息。作为你友好的黑客旁友，让我和你分享一些在OSINT中可以用来收集关于雇员的重要信息吧。剧透一下——我接下来要讲的内容可不是你马上就能想到的！
Instagram OSINT收集技巧虽然在一张又一张图片中滚动浏览有点费力，但在图片上也可以包含一些容易找到的细节，可以通过关键字进行搜索。实习生和员工通常会在他们的帖子上使用#CompanyName #WorkLife #WorkFlow #Intern以及#FirstDayofWork等标签。通常情况下，这些人会在一个典型的咖啡店为背景的图片中泄露内部办公室布局、工牌图片、桌面应用程序、数字文件和Outlook日历。
对于那些想方设法侵入公司办公场所的黑客来说，这是一个轻而易举的胜利。在随意浏览之后， X-Force红队的成员发现了某个最快乐的实习生的照片，在她的照片旁边有一张包含头像的小照片，上面印着一个公司的新工牌。经过几分钟的图片编辑，我们可以用这张图片制作一个假工牌。这种假工牌在门禁上可能不起作用，但当其他员工进入安全场所时，就可以用这个假工牌尾随进入。

GlassdoorGlassdoor是众多雇主评论网站之一，在这些网站上，你可以获得某公司的内部人员对员工如何看待一个公司及其高管的真实看法、向管理层提出的建议、列出利弊，甚至披露薪酬范围和典型的面试问题等信息。 Glassdoor是另一个攻击者收集公司信息的网站。
利用这些信息，攻击者可以伪造仿冒的电子邮件，根据特定公司员工的趋势，准备主题和内容。不幸的是，员工很容易被一封精心设计的电子邮件所迷惑，他们可能会忘记检查发件人的合法性。如果这个网站承诺提供一个像永久停车位这样有利可图的福利的话，他们甚至会点击邮件中的一个链接，将他们的公司证件提交到一个假冒的网站上。
雇主应该对员工进行培训，让他们在任何网站上发布信息时都能保持公司的安全，并注意公司的政策，即使他们公开、匿名地评价自己的工作生活。互联网上没有什么是真正匿名的，如果一家公司因为这样的帖子而受到损害，它也可能影响到员工。
YouTube人们常说“一图胜千言” 。如果这是真的，那么一个实习生决定把GoPro绑在他们的头上，在办公室里录制了一个37分钟的日常生活小视频，又算什么呢？好吧，我不确定“一个视频胜过多少个字” ，但我可以告诉你它可以提供以下信息:
·该公司选择的防病毒软件
·工牌的设计
·建筑布局
·进入公司的过程
·凭证
·雇员着装要求或服饰
·员工事件日历
·员工午餐聚会
·看守小屋
·对外开放的公共地点
·操作系统
·停车场
·电话号码
·物理钥匙
·吸烟区
·生产力套件
·敏感文件
·“那扇秘密的门是我偷偷用的，别人不知道的，以防我忘带了工牌”
·十字转门
·供应商
·脆弱的门禁
·以及更多信息
寻找公司信息的攻击者只是在寻找正确的视频，而这正是YouTube、Vimeo和其他网站能够提供他们正在寻找的信息的地方。实习生、员工，甚至内部营销、公共关系和人才团队都可能在没有运营安全对其进行审查的情况下发布视频。