这是一个创建于 2520 天前的主题，其中的信息可能已经有所发展或是发生改变。
今天看到这个消息，说是广告商正在通过使用不可见的 form 来捕捉密码管理工具自动填充的数据。
本人还是挺依赖这个功能的，看来以后还是不要再用了。
 |
1
wtbhk 2018-01-02 12:37:14 +08:00 via Android  1
密码填充软件首先判断域名的啊
|
 |
3
Lothar 2018-01-02 12:49:51 +08:00
细想似乎真有可行性..
|
 |
4
xenme 2018-01-02 12:50:52 +08:00
1. block 了各种广告以及追踪的请求和域名
2. 1password，手动 fill 3. 每家都是独立的，发现一家干掉一家就好了，没什么大不了的。 |
 |
5
hugee 2018-01-02 12:53:06 +08:00 via Android
一直对自动忌惮
|
 |
6
tony1016 2018-01-02 13:06:29 +08:00
用户名可以抓，密码怎么抓呢？？
|
 |
7
coolcoffee 2018-01-02 13:11:23 +08:00
这个在 lastpass 上出现过一次可以伪造域名导致扩展自动填充的， 但重要账户都是有二次验证了， 密码库被爆了也没太大关系
|
 |
8
ligyxy 2018-01-02 13:12:03 +08:00
|
 |
9
700388 2018-01-02 15:00:54 +08:00
没什么用的，自动填充，会判断网站才显示出来。网站不对，自动填充根本就不显示。随便伪造的网站，那倒是可以捕获密码，但是，随便网站密码的价值不大的话，密码也毫无用。
只要每个账户，密码不同，就算他拿到密码，也是个低权密码。 |
 |
10
lance6716276 2018-01-02 15:10:11 +08:00
我记得是 chrome 对 https 页面不会自动填充，需要手动用鼠标选那个候选项。http 页面会自动填充，但是 http 问题多的是呢，不差自动填充这一点
|
 |
11
Quaintjade 2018-01-02 15:28:20 +08:00
很早就在担心这种问题，终于有人这么做了。
|
 |
12
freewarcraft 2018-01-02 16:54:06 +08:00
在 edge 上用 1password，电脑从休眠中恢复后 1p 插件都无法启动，根本不担心自动填充的问题。。。
|
 |
13
AEANWspPmj3FUhDc 2018-01-02 17:14:07 +08:00
keepass 的自动填充就完全没有这种顾虑，推荐一下
|
 |
14
alexyangjie 2018-01-02 17:26:48 +08:00 2
这个四年多前就有人讨论过。当时写了一个 demo page, 刚才用 lastpass 最新版测试，依然中招。只要打开 auto fill 就会被脚本劫持。https://www.alexyang.me/demo/
|
 |
15
Xrong 2018-01-02 17:48:07 +08:00
@alexyangjie 1Password 测试中招
|
 |
16
peesefoo 2018-01-02 19:12:19 +08:00 via Android
待会测试一下 enpass
|
 |
17
tghgffdgd 2018-01-02 19:29:21 +08:00
|
 |
18
yongyuhi 2018-01-02 19:31:02 +08:00 via Android
最大的广告商就是谷歌啊
|
 |
19
paradoxs 2018-01-02 19:32:24 +08:00
@alexyangjie 这个是同域名的，不算是中招了吧？
|
|
20
alexyangjie 2018-01-02 20:10:14 +08:00
@tghgffdgd #17 所以广告商的危害很大，因为广告商就是跨域的。
|
|
21
alexyangjie 2018-01-02 20:10:27 +08:00
@paradoxs #19 见楼上
|
 |
22
yu099 2018-01-02 20:34:06 +08:00 via Android
@alexyangjie chrome 自动填充没问题诶
|
Select Language