自動填寫表單有風險嗎？

使用一些方法獲得 Cookie，即使能控制賬號，但其密碼仍無法得知，隨時都有可能失去控制權,一些用戶有讓瀏覽器自動保存密碼的習慣。通過這點，是否能套出記住的密碼來呢？
  分析下瀏覽器是如何自動填寫頁面表單的。其實很簡單，瀏覽器發現頁面 URL 和表單名匹配記錄裏的，就自動填上了。

 

要是在流量可控的網絡裏，剝離頁面所有內容只剩表單，又會如何？

 

 保存着的密碼仍能自動填上，並且可被腳本訪問到！

如果在用戶訪問的頁面裏，創建大量的隱藏框架頁，即可嘗試獲取各種網站保存着的賬號了。（不過如今 Chrome 框架頁已經不會自動填寫了。具體實現和瀏覽器有關）。可是即使框架頁不自動填寫，但主頁面總得保留該功能吧。如果發現用戶某個打開着的網頁很久沒有交互了，可悄悄跳轉到如上那樣的純表單頁，無論能否獲取數據，都將繼續跳轉，一個接一個的嘗試。。。直到用戶切回窗口，再恢復到原先那個頁面。

 

 由於泄露的是明文的賬號和密碼，即使數量不多，也能通過社工獲取到用戶的更多信息，最終導致更嚴重的泄露。
防範措施：
1、網站全站部署沃通SSL證書，即使泄露，也只是密文，沒法破解拿到原始的賬號和密碼。
2、無論是 Cookie 記住登錄，還是瀏覽器自動填表，重要的賬號都應慎用。瀏覽器的自動填表也應增加些安全策略，例如必須有用戶的交互纔開始填寫，規定的時間裏只能填有限次