0
| 本文作者： 謝幺 | 2017-01-12 15:05 |
當(dāng)你在注冊新賬號，或者填寫收貨地址時，大堆信息是否讓你頭疼？所幸的是，大多數(shù)瀏覽器都自帶了的自動填充表單的功能，一秒鐘就能幫你填好所有的所有輸入框。
可是，最近一個芬蘭的網(wǎng)頁開發(fā)者和黑客 Viljami Kuosmanen 發(fā)現(xiàn)了一個自動填寫表單功能重大的潛在安全漏洞，他表示諸如 Chrome、Safari 和 Opera 等瀏覽器，或是 LastPass 這樣帶自動填充功能的瀏覽器插件，都可能會泄露用戶的隱私。
一般來說，在使用自動填充功能之前，用戶需要提前把需要自動填充的個人信息存儲在瀏覽器或者工具中，以 Chrome 瀏覽器為例：
其自動填寫的信息包括郵編、詳細(xì)地址、組織（公司）、用戶名、電話、和電子郵件等，通?？捎脕砜焖偬顚懯肇浀刂?。
再以自動登錄工具 Lastpass 為例，它提供了更為詳細(xì)的資料填寫項目，幾乎可以幫你自動填寫能想到的所有資料，包括除了基礎(chǔ)的用戶名、姓名、生日、社會保險號碼（身份證號），還有詳細(xì)地址、聯(lián)系人、銀行賬戶等等。
然而這些 Viljami 發(fā)現(xiàn)，通過極其簡單的手段將一些文本輸入框隱藏起來，就可以在你不知情的情況下，得到你表單中的所有個人資料。
為了實際展示該功能，Viljami 做了一個簡單的演示 Demo 網(wǎng)站，看起來，網(wǎng)頁上只要求輸入姓名和郵箱，但是按提交鍵后，通過瀏覽器抓取信息顯示，除了頁面上能看到的兩項信息以外，用戶的電話、地址等信息也被上傳了。
【圖片來自：Viljami 提供的演示 demo 】
雷鋒網(wǎng)宅客頻道按照這種思路繪制了一個釣魚網(wǎng)站騙取用戶信息的示意圖如下：
釣魚網(wǎng)站會將一些用戶電話、地址等信息的輸入框隱藏起來，雖然用戶的肉眼看不到，但是自動填寫程序能捕捉到，并在用戶不知情的情況下“幫” 用戶把信息填進(jìn)去。
據(jù)雷鋒網(wǎng)了解，喜歡海淘的人經(jīng)常需要填寫如信用卡卡號、有效日期和安全碼等信息，此外，人們在參加“特價秒殺”等搶購活動時也需要爭分多秒地填寫表單，這時許多人會 選擇將住址、電話等資料保存在瀏覽器或插件中，以便自動填充。
一旦用戶在釣魚網(wǎng)站使用了自動填充功能，就很可能會泄露自己的詳細(xì)地址、信用卡號、安全碼等信息。
問題的發(fā)現(xiàn)者 Viljami 表示：“該問題在 Chromium 內(nèi)核中存在6年之久，這就是我不愛用自動填寫表單的原因?！?/strong>
他還表示 Mozilla 的 Firefox 火狐瀏覽器并沒有此類問題，因為它只支持自動填寫單個文本框而不支持一鍵填寫整個表單，用戶需要逐個點擊輸入框，因此那些隱藏起來的文本輸入框就是去了作用。
雖然 Viljami 建議關(guān)閉網(wǎng)頁自動填充功能，但雷鋒網(wǎng)宅客頻道認(rèn)為這未免有些因噎廢食的意思。自動填寫功能可以用，但建議用戶在使用該功能前確認(rèn)網(wǎng)站是否可信任，切勿在來歷不明的小網(wǎng)站使用，以免遭遇釣魚。
對于懂技術(shù)又不怕麻煩的人，在小網(wǎng)站使用自動填寫功能時，不妨花幾秒鐘手動檢查一下網(wǎng)頁源代碼。不過話說回來，既然都不怕麻煩地檢查代碼了，為何不直接手動填寫呢……
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
