某安全网出品的 社会工程学课程 全套13节课无加密视频

这套社会工程学课程共 13 节，无加密，可直接播放。它属于那种「内容本身不复杂、但大多数人不会系统去看」的类型——因为社会工程学常被归到「玄学」或「话术」里，真正愿意把它拆成可复用结构来讲的教程并不多。这份资料的价值不在于看完能立刻做什么，而在于它提供了一个相对完整的攻击面视角，让你在做防护、做渗透测试、或者写安全方案时，脑子里有一张更清晰的图。

它讲的是什么层面的社会工程学

从课程节奏看，它没有停留在「钓鱼邮件长什么样」这种表层。13 节的体量决定了它必须做取舍，所以内容更偏向于信息收集、心理触发点、 pretext 构造、以及线下与线上的衔接这几个模块。换句话说，它把社会工程学当成一套可拆解的流程来讲：先确定目标，再围绕目标做 OSINT，然后设计一个合理的「故事」降低对方警惕，最后才是具体的接触手段。

这种讲法对开发者的实际意义在于：如果你在做安全开发或运维，你会更容易理解为什么「技术防护做到 90 分，剩下 10 分依然能被绕过」。因为攻击者往往不直接打系统，而是打使用系统的人。

课程结构上的可复用点

13 节的划分方式比较适合对照实践。通常这类课程会按「概念 → 信息收集 → 手段分类 → 案例复盘」来推进，而这套课在中间部分留出了足够的篇幅讲信息拼接。所谓信息拼接，就是把散落在不同平台的公开信息（社交动态、企业组织架构、技术栈泄露、邮箱命名规则）组合成一个可用的攻击画像。这部分是很多同主题资料里最容易被跳过、但实际最需要动手练的环节。

另一个可复用的点是它的案例组织方式。不是单纯讲故事，而是把每个案例拆成「目标背景、可用信息、切入点、执行步骤、暴露风险」。如果你正在准备软考信息安全方向，或者要写安全评估报告，这种结构可以直接套用到你自己的分析文档里。

技术栈与工具视角

虽然主题偏「人」，但课程里涉及的工具链并不少。信息收集阶段通常会用到搜索引擎高级语法、公开数据接口、社交媒体抓取思路； pretext 构造阶段会涉及临时邮箱、域名注册、简单页面克隆。对开发者来说，这些不是要你去做攻击，而是让你知道防御方该在哪些环节设卡。比如：为什么企业邮箱要限制外部转发、为什么新注册域名应该被邮件网关重点标记、为什么员工公开的技术博客可能成为攻击入口。

如果你平时做的是后端或 DevOps，这套课能帮你把「安全」从「加个 WAF」扩展到「人的行为面」。

怎么用这份资料更有效

• 不要一口气刷完。每看完一节，用笔记写一段「如果我是防守方，这一招怎么防」。
• 把信息收集那几节单独拿出来，用公开的、合法的目标（比如你自己所在团队对外公开的页面）做一次信息梳理练习。
• 结合你手上的项目，写一份简短的「社工风险点清单」，列出哪些对外信息可能被利用。
• 如果是为了软考，重点看概念分类和案例结构，把术语和流程记准；如果是为了实际工作，重点看信息拼接和 pretext 设计逻辑。

这套课不适合当成「看完就会」的教程，它更像一份结构化的参考材料。真正有用的部分，是你边看边对照自己所在环境做的那些笔记。