今天看到这个消息，说是广告商正在通过使用不可见的 form 来捕捉密码管理工具自动填充的数据。
本人还是挺依赖这个功能的，看来以后还是不要再用了。
This topic created in 3238 days ago, the information mentioned may be changed or developed.
 |
1
密码填充软件首先判断域名的啊
|
1
 |
LotharJan 2, 2018
3
细想似乎真有可行性..
|
 |
xenmeJan 2, 2018
4
1. block 了各种广告以及追踪的请求和域名
2. 1password，手动 fill 3. 每家都是独立的，发现一家干掉一家就好了，没什么大不了的。 |
 |
hugeeJan 2, 2018 via Android
5
一直对自动忌惮
|
 |
tony1016Jan 2, 2018
6
用户名可以抓，密码怎么抓呢？？
|
 |
coolcoffeeJan 2, 2018
7
这个在 lastpass 上出现过一次可以伪造域名导致扩展自动填充的， 但重要账户都是有二次验证了， 密码库被爆了也没太大关系
|
 |
700388Jan 2, 2018
9
没什么用的，自动填充，会判断网站才显示出来。网站不对，自动填充根本就不显示。随便伪造的网站，那倒是可以捕获密码，但是，随便网站密码的价值不大的话，密码也毫无用。
只要每个账户，密码不同，就算他拿到密码，也是个低权密码。 |
 |
lance6716276Jan 2, 2018
10
我记得是 chrome 对 https 页面不会自动填充，需要手动用鼠标选那个候选项。http 页面会自动填充，但是 http 问题多的是呢，不差自动填充这一点
|
 |
QuaintjadeJan 2, 2018
11
很早就在担心这种问题，终于有人这么做了。
|
 |
freewarcraftJan 2, 2018
12
在 edge 上用 1password，电脑从休眠中恢复后 1p 插件都无法启动，根本不担心自动填充的问题。。。
|
 |
AEANWspPmj3FUhDcJan 2, 2018
13
keepass 的自动填充就完全没有这种顾虑，推荐一下
|
 |
14
这个四年多前就有人讨论过。当时写了一个 demo page, 刚才用 lastpass 最新版测试，依然中招。只要打开 auto fill 就会被脚本劫持。https://www.alexyang.me/demo/
|
 |
XrongJan 2, 2018
15
@alexyangjie 1Password 测试中招
|
 |
peesefooJan 2, 2018 via Android
16
待会测试一下 enpass
|
 |
tghgffdgdJan 2, 2018
17
|
 |
yongyuhiJan 2, 2018 via Android
18
最大的广告商就是谷歌啊
|
 |
paradoxsJan 2, 2018
19
@alexyangjie 这个是同域名的，不算是中招了吧？
|
|
alexyangjieJan 2, 2018
20
@tghgffdgd #17 所以广告商的危害很大，因为广告商就是跨域的。
|
|
alexyangjieJan 2, 2018
21
@paradoxs #19 见楼上
|
 |
yu099Jan 2, 2018 via Android
22
@alexyangjie chrome 自动填充没问题诶
|
Select Language