——基于 “身边的新鲜权” 直播课的系统化学习与防护实务
Ⅰ、活动缘起与学习目标
本系列以案例驱动、工具实操为核心，旨在让：
- 安全从业者 了解常见攻击手段的技术细节；
- 普通用户 形成最基础的安全意识（加群、提问、领取福利）；
- 企业运营 掌握可落地的防护措施（硬件防护、行为约束、应急流程）。
Ⅱ、三条小提示——让学习更高效
| 提示 | 关键操作 | 目的 |
|---|---|---|
| 1. 加入交流群 | 扫描直播首页二维码 → 入群 | 持久化的技术交流、案例分享、资源下载 |
| 2. 及时提问 | 在弹幕或群里以 “（提问）” 开头标记 | 让讲师快速定位、集中整理、统一回复 |
| 3. 领取福利 | 通过直播间提供的网盘链接下载电子教材、演示脚本、工具集 | 完整复盘每一次演示、在真实环境中自行复现 |
Ⅲ、本周主题概览——“身边的新鲜权”
| 日期 | 讲师 | 主讲内容 |
|---|---|---|
| 周一 | 杨老师 | 社会工程学·黑客如何利用心理学套取信息 |
| 周三 | 李老师 | 公开信息的聚合与漏洞定位（从社交媒体到银行卡） |
| 周五 | 张老师 | 多场景攻击手段实战演示——NFC、充电宝、Wi‑Fi 钓鱼、恶意 APP |
本指南重点聚焦 张老师 的实战演示，结合前两天的理论，形成完整的 认知 → 采集 → 利用 → 防护 四步链路。
Ⅳ、攻击手段深度解析
1. NFC 近场通信窃取（银行卡、交通卡）
- 原理：大多数银行卡、公交卡、门禁卡均内置 13.56 MHz 的非接触式芯片。只要设备开启 NFC 并靠近 2‑4 cm，即可读取卡片的 UID、交易记录、卡号、卡片余额等信息。
- 演示：使用 “碰碰米” App（公开的 Android NFC 读取工具），将银行卡背面放置于手机背后，即能直接显示卡号、单笔限额、最近消费记录；交通卡则展示乘车时间、上下车站点。
- 风险：攻击者可通过 “POS 泄露芯片”、“贴近读取设备（POST）”（距离约 2‑3 cm）实现 被动窃取，甚至在夜市、公交站、超市等人流密集区域远程读取（功率放大版 POS 读取器）实现 主动攻击。
四大件：卡号、姓名、身份证号、密码。演示中已出现前两项，若再结合密码泄露，即可完成完整的金融欺诈。
2. 充电宝/充电桩的隐藏木马
- 攻击路径：
- 硬件层：植入恶意微控制器（如 STM32）实现 USB HID（键盘） 或 USB 网络 伪装。
- 软件层：在充电宝内部预装恶意 APK（利用 Android 调试模式/USB Debug），一旦手机插入即自动触发弹窗、下载并执行恶意代码。
- 演示：Tony 老师现场将充电宝接入手机后，手机瞬间弹出摄像头权限请求、自动上传本地相册，甚至打开后台的摄像头进行 实时窃听。
- 典型案例：广州某夜市的 “POST 机” 只需 2‑3 cm 即能读取并 直接扣款（最高 998 元），并在现场抓获数十名受害者。
3. Wi‑Fi 伪装钓鱼（“绵羊墙 / 主动 Wi‑Fi 钓鱼”）
- 原理：
- 免密码公开热点：黑客在公共场所（如商场、地铁站）部署伪基站，发布同名 SSID。
- 主动诱捕：一旦设备自动连接，使用 Captive Portal 劫持 DNS，所有 HTTP/HTTPS 请求均指向攻击者的服务器，植入 钓鱼页面、恶意脚本，实时截获用户输入的账号、密码、验证码。
- 演示：在现场搭建的 “金字头条” 伪装 APP 页面，所有用户打开即在后台同步显示其浏览内容、聊天记录、登录信息。短短 30 分钟内抓获 150 台设备（包括 iOS、Android、Windows、Mac）。
- 扩展案例：
- “Wi‑Fi 冲浪”：攻击者在机场投放高功率 Wi‑Fi，利用 Evil Twin + ARP 欺骗 让用户流量走向内部渗透服务器，实现 跨站脚本（XSS） 与 中间人攻击（MITM）。
4. 恶意 APP（伪装 “保卫萝卜”）
- 攻击手法：利用 打包混淆、加密资源，在用户安装后加密本地图片、文档，并向 C2 服务器发送“勒索费”信息；若付款，服务器返回解密密钥。
- 演示：Tony 老师现场下载并运行 “保卫萝卜”，三张演示照片瞬间被加密，提示用户支付 99 元解锁。实际案例：2020 年台湾某用户因未付费导致重要工作照片永久丢失。
- 防御：
- 仅从正规渠道（App Store、华为应用市场）下载；
- 开启手机安全防护、及时更新病毒库；
- 对重要文件进行离线备份（硬盘、加密U盘）。
V、案例剖析（原始字幕中的关键案例）
案例 1 —— 清华教授房产诈骗
- 背景：教授刚卖掉住宅 1760 万，随后收到自称心理学博士编写的诈骗脚本电话。
- 攻击链：
- 利用 个人信息泄露（房产交易、身份证号）确认受害人身份；
- 通过 恐慌心理（担心税务违规）施压；
- 诱导受害人 直接转账 完成全额骗款。
- 防护：对个人重要信息（身份证、银行卡）分层加密，不轻易在非官方渠道披露；接到涉及金钱的电话应 先核实（官方客服电话、银行提醒）。
案例 2 —— 广州夜市 POS “POST 机” 直接扣款
- 攻击手法：现场放置 高功率 NFC 读取器（距离 2‑3 cm），对聚集的人群进行 无感读取，读取消费卡信息后直接向预设账号发起 无 PIN 扣款，每笔 998 元。
- 影响：数十名游客在不知情情况下被扣款，累计金额超过十万元。
- 防御：使用 金属屏蔽卡套、NFC 关闭功能（系统设置 → NFC）或 携带独立的屏蔽卡；在公共场所尽量避免 刷卡付款，改用 移动支付（具备 3‑D Secure）。
案例 3 —— 共享充电宝隐蔽木马
- 硬件植入：在普通外形的充电宝内部装入 恶意微控制器，通过 USB 数据线 与手机建立 ADB 连接，自动下发 键盘注入（输入恶意命令）或 下载 恶意 APP。
- 后果：用户手机被远程拍照、抓取通讯录、发送短信至付费号码。
- 防护：
- 优先使用 自带充电宝（容量 2600 mAh，极小）进行 临时充电；
- 不打开 USB 调试、勿随意授予 “信任”；
- 使用 只传电流的安全充电头（Data 线被切断），彻底阻断数据通路。
案例 4 —— Wi‑Fi 免密码钓鱼的实地演示
- 场景：上海人民广场音乐广场布设假热点，吸引过路人自动连接。
- 技术：通过 Captive Portal 替换 DNS，劫持所有 HTTP 请求，实时 抓取账号密码（例如金山办公、QQ 邮箱登录）。
- 结果：30 分钟内捕获 150+ 设备，且 跨平台（iOS、Android、Windows、Mac）。
- 防御：
- 勿自动连接 免密码 Wi‑Fi，默认关闭自动连接功能；
- 连接后立即忘记（Android → Wi‑Fi → 长按网络 → “忘记网络”； iOS → 设置 → Wi‑Fi → “忽略此网络”）；
- 在公共场合使用 VPN，对所有流量进行加密。
案例 5 —— 恶意勒索 APP “保卫萝卜”
- 攻击过程：用户误点下载伪装为游戏的 APP，安装后立即对本地照片、文档进行 AES 加密，并弹窗索要 99 元（通过微信、支付宝支付）提供解密密钥。
- 真实受害：台灣一名用户因不具支付手段，最终重要工作文件永久失联。
- 防护措施：
- 只从官方渠道下载；
- 开启系统安全审计（iOS 设备的 App 安全性检查、Android 的 Play Protect）；
- 对重要文件离线备份（硬盘、加密云盘），防止单点失效。
VI、关联扩展案例（与原案例相似的常见攻击）
| 编号 | 名称 | 攻击媒介 | 关键技术 | 影响 | 防御要点 |
|---|---|---|---|---|---|
| A | 蓝牙 Beacon 窃密 | 蓝牙低功耗（BLE） | 恶意 Beacon 广播伪装成定位、支付设备，诱导手机自动配对并读取 设备信息、位置、甚至通讯录 | 近距离（≤10 m）即可窃取个人隐私 | 关闭不必要的蓝牙、使用 隐私模式、定期删除已配对设备 |
| B | 二维码钓鱼（QR‑Phish） | 社交媒体、线下海报 | 生成指向钓鱼网站的 QR 码，利用 HTTPS 伪装让用户输入账号密码 | 用户扫描后直接泄露登录凭据 | 使用 可信 QR 码扫描器（验证 URL 域名），不随意扫码陌生二维码 |
| C | OTA 固件植入 | IoT 设备（摄像头、路由器） | 伪造或拦截 OTA 更新，植入后门或挖矿程序 | 设备长时间被控制，形成 僵尸网络 | 只从官方渠道升级、签名校验、关闭自动升级功能 |
| D | 护照 RFID 贴纸窃取 | 护照、身份证等带 RFID 的证件 | 使用高功率 RFID 读取器在 5‑10 cm 外读取护照芯片信息（姓名、护照号、照片） | 个人身份信息被复制，导致跨境欺诈 | 将证件装入 金属夹层钱包、使用 RFID 屏蔽套 |
| E | 供应链恶意 SDK | 第三方开发库（如广告 SDK） | 攻击者在 SDK 中植入 数据收集后门，所有集成该 SDK 的 APP 均会上报用户信息 | 大规模信息泄漏（数百万用户） | 通过 SBOM（软件物料清单）审计第三方库，使用 代码审计、安全签名 |
以上案例与本次直播课演示的 NFC、充电宝、Wi‑Fi、恶意 APP 同属“外设/软件双向渗透”的攻击链路，展示了现代攻击的 硬件、协议、社交 多维度融合特性。
VII、防护与最佳实践——从硬件到行为的全链条防御
1. 硬件层面的防护
| 场景 | 防护硬件 | 工作原理 |
|---|---|---|
| 银行卡/NFC 卡 | 金属屏蔽卡套 / NFC 阻断卡（如 “Ahmed 牌”） | 金属层吸收 13.56 MHz 电磁波，阻断读取距离；插卡时取下卡套即可正常使用。 |
| 充电宝/充电桩 | 只传电安全充电头（Data 线断开） | 四根 USB 线中仅保留 V+ / V‑，数据线被切断，防止 USB HID、ADB、OTG 类攻击。 |
| 蓝牙/Beacon | 信号屏蔽贴（RFID/蓝牙屏蔽贴） | 通过高导电金属或特殊吸收材料降低信号强度，降低被主动配对的概率。 |
| 移动设备备份 | 离线硬盘、加密 U 盘 | 文件加密后存放在非网络环境，防止勒索软件加密后 “双重锁”。 |
2. 软件层面的防御
- 系统安全设置
- 关闭 NFC、蓝牙、USB 调试；仅在需要时手动打开。
- Android：设置 → “开发者选项” → 关闭 “USB调试”。
- iOS：设置 → “通用” → “蓝牙”，关闭陌生设备自动配对。
- 安全软件
- 安装官方渠道的 移动安全/杀毒（如 360、腾讯电脑管家、卡巴斯基），保持病毒库每日更新。
- 开启 应用权限监控，限制 APP 的定位、摄像头、麦克风、读取联系人等权限。
- 网络安全
- 公共 Wi‑Fi 不自动连接；连接后立即 忘记网络。
- 使用 可信 VPN（如 NordVPN、ExpressVPN）对所有流量进行加密。
- 对重要业务（企业内部）采用 企业级 Wi‑Fi 认证（802.1X），防止冒牌热点。
3. 行为层面的防御
| 场景 | 正确做法 | 常见误区 |
|---|---|---|
| 使用公共充电设施 | 使用 自带充电宝；若必须使用公共充电桩，先确认 只传电，或带上 USB 数据线断路器 | 直接把手机插入不明充电桩，打开 USB 调试，信任弹窗 |
| 扫码支付/二维码 | 手动输入或使用官方 APP 扫码，确认 URL 正确 | 扫描陌生二维码后自动跳转到钓鱼页面 |
| APP 下载 | 只从 App Store / 官方应用市场 下载；检查开发者签名 | 未经验证的第三方网站、即时通讯传来的 APK |
| 社交媒体露面 | 不随意公开 身份证号、银行卡号、家庭住址；使用 隐私设定 | 朋友圈、微博直接发布个人证件照、银行卡号后四位等细节 |
| 密码管理 | 使用 密码管理器（如 1Password、KeePass）生成唯一强密码；开启 双因素认证（短信、OTP、硬件令牌） | 重复使用弱密码、在公共电脑输入敏感账号 |
VIII、学习资源与实战演练
| 资源 | 内容 | 获取方式 |
|---|---|---|
| 直播课 PPT / 视频 | 章节详细 PPT、演示脚本、现场录像 | 加群后从网盘下载 |
| NFC 读取工具 | Android “碰碰米”、iOS “NFC Tools” | App Store / Google Play 官方版 |
| 安全充电头 | 市面常见的 “只充电头” 设计图、购买链接 | 群内推荐或官方渠道（如 Anker “Data Blocker”） |
| Wi‑Fi 钓鱼实验环境 | Kali Linux 预装 hostapd-mana、ettercap 脚本 |
课程资料页提供 ISO 镜像 |
| 卡套/屏蔽卡 | 金属屏蔽卡套、RFID 防护卡 | 电商平台搜索 “防 RFID 护照卡套” |
| 密码管理器 | 免费版 1Password、Bitwarden | 官方网站注册使用 |
| 漏洞复现脚本 | “Charging‑Trojan”、 “FakeAP” 演示代码 | 课程网盘附带 .zip 包 |
练习建议：
1. 使用 安全手机（测试机） 安装 “碰碰米”，尝试读取自己常用的公交卡，观察信息是否完整。
2. 连接 仅传电充电头，观察系统是否弹出 “USB 调试请求”。
3. 在实验网络中搭建 FakeAP，用手机连接后检查是否被自动重定向到钓鱼页面。
IX、总结与展望
- 安全是一场马拉松——本系列课程仅是起点，真正的防护需要 持续学习、定期演练。
- 本次 “身边的新鲜权” 包含的 NFC、充电宝、Wi‑Fi、恶意 APP 四大板块，是 日常生活中最容易被忽略的攻击面。只要掌握了 硬件屏蔽、系统硬化、行为约束 三层防御，就能在大多数场景下实现 “未被攻击即为成功防御”。
- 后续计划：下周将开启第二季 《网络谣言与隐私保护》，聚焦 社交媒体谣言、深度伪造、个人隐私泄露；届时将邀请 露露柠檬公司亚太区安全负责人、马一烈老师 进行专题分享。
请继续关注群内公告，领取最新电子大礼包（演示视频、工具箱、案例合集），并保持 每周一、三、五的固定学习节奏。让我们在信息化浪潮中，以技术为盾、以意识为剑，携手构建更安全的数字生活！
面对数字化浪潮下的复杂信息威胁，昆明亭长朗然科技有限公司为您提供一套前沿、全方位的安全意识与保密培训解决方案。我们不仅仅是提供培训，更是专注于构建创新的学习内容体系，通过高度拟真的互动式模拟和情景案例设计，让员工深度参与到安全流程和风险识别中，实现从“知识输入”到“实战能力”的跨越式升级。我们致力于将最专业的网络安全知识转化为最易理解、最生动的学习体验，助力您的企业筑起坚固的“人防线”。欢迎所有追求卓越安全韧性的企业，联系我们，共同迈向更安全、更可靠的数字化未来。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898