從谷歌Chrome瀏覽器、獵豹瀏覽器再到360瀏覽器,密碼保護(hù)一個(gè)比一個(gè)嚴(yán)密。不管現(xiàn)在遠(yuǎn)不能說瀏覽器密碼很安全,因?yàn)橐陨线@些只能在物理層面防止身邊的人竊取密碼。事實(shí)上,身邊親人朋友很少會(huì)主動(dòng)竊取賬號(hào)密碼,密碼泄露一般都是由于病毒或黑客攻擊。

▲ XSS 測(cè)試工具

小黑咨詢了一位從事軟件開發(fā)的朋友H君,他告訴小黑:“這種瀏覽器密碼太好破解了,通過跨站腳本攻擊就能搞定。瀏覽器記住密碼機(jī)制與表單自動(dòng)填充一樣,攻擊者可以在自己的域放一個(gè)頁(yè)面,你的瀏覽器訪問后,會(huì)自動(dòng)填充這個(gè)頁(yè)面的表單,比如Email、家庭地址、手機(jī)號(hào)等等,然后這個(gè)頁(yè)面的JavaScript就可以獲取到這些值了�！�

▲ 測(cè)試頁(yè)面

H君還告訴小黑:“普通的病毒木馬通過提高安全意識(shí),安裝殺毒軟件就能解決,但是這種密碼自動(dòng)填充都是明文密碼,殺毒軟件也幫不了�！�

▲ 解析JS 腳本

預(yù)防小技巧:如何關(guān)閉自動(dòng)填充

既然瀏覽器自動(dòng)填充密碼這么不安全,那我們就要想辦法去解決。最簡(jiǎn)單直接的辦法就是關(guān)閉自動(dòng)填充,在Chrome瀏覽器地址欄輸入“chrome://settings/”即可進(jìn)入管理界面,點(diǎn)擊關(guān)閉提示自動(dòng)保存密碼與自動(dòng)登錄功能。

▲ Chrome瀏覽器關(guān)閉提示保存密碼

接著,可以將已經(jīng)保存的密碼一個(gè)個(gè)刪除,這樣就能保證密碼萬(wàn)無(wú)一失。刪除密碼雖好,但是小黑將近100個(gè)網(wǎng)站密碼,一時(shí)間根本記不住。好在小黑即使發(fā)現(xiàn)瀏覽器有密碼導(dǎo)出功能,可以一鍵將所有密碼導(dǎo)出到桌面,保存為csv 表格格式。以后,雖然在輸入網(wǎng)站密碼時(shí)麻煩不少,可總算可以保證密碼不會(huì)丟失。

▲ 谷歌Chrome瀏覽器可以導(dǎo)出密碼

在刪除密碼時(shí),小黑還總結(jié)出一些經(jīng)驗(yàn),在部分涉及隱私與工作相關(guān)的賬號(hào),小黑選擇刪除自動(dòng)填充密碼,在其他無(wú)關(guān)緊要的網(wǎng)站,比如虎嗅、36氪、IT之家這些科技娛樂類網(wǎng)站,小黑還是選擇自動(dòng)記住密碼,只不過將密碼改成平時(shí)不常用的罷了。

▲ 獵豹瀏覽器關(guān)閉選項(xiàng)