微信、支付宝都出了大新闻，斗地主还差一个你(3)

一般来说，在使用自动填充功能之前，用户需要提前把需要自动填充的个人信息存储在浏览器或者工具中，以 Chrome 浏览器为例：

其自动填写的信息包括邮编、详细地址、组织（公司）、用户名、电话、和电子邮件等，通常可用来快速填写收货地址。

再以自动登录工具 Lastpass 为例，它提供了更为详细的资料填写项目，几乎可以帮你自动填写能想到的所有资料，包括除了基础的用户名、姓名、生日、社会保险号码（身份证号），还有详细地址、联系人、银行账户等等。

然而这些 Viljami 发现，通过极其简单的手段将一些文本输入框隐藏起来，就可以在你不知情的情况下，得到你表单中的所有个人资料。

为了实际展示该功能，Viljami 做了一个简单的演示 Demo 网站，看起来，网页上只要求输入姓名和邮箱，但是按提交键后，通过浏览器抓取信息显示，除了页面上能看到的两项信息以外，用户的电话、地址等信息也被上传了。

【图片来自：Viljami 提供的演示 demo  】

小编按照这种思路绘制了一个钓鱼网站骗取用户信息的示意图如下：

钓鱼网站会将一些用户电话、地址等信息的输入框隐藏起来，虽然用户的肉眼看不到，但是自动填写程序能捕捉到，并在用户不知情的情况下“帮” 用户把信息填进去。

据小编了解，喜欢海淘的人经常需要填写如信用卡卡号、有效日期和安全码等信息，此外，人们在参加“特价秒杀”等抢购活动时也需要争分多秒地填写表单，这时许多人会 选择将住址、电话等资料保存在浏览器或插件中，以便自动填充。

一旦用户在钓鱼网站使用了自动填充功能，就很可能会泄露自己的详细地址、信用卡号、安全码等信息。

问题的发现者 Viljami 表示：“该问题在 Chromium 内核中存在6年之久，这就是我不爱用自动填写表单的原因。”

他还表示 Mozilla 的 Firefox 火狐浏览器并没有此类问题，因为它只支持自动填写单个文本框而不支持一键填写整个表单，用户需要逐个点击输入框，因此那些隐藏起来的文本输入框就是去了作用。

五、如何用技术知道另一半的社交账号密码

周末了，来轻松一下。

蕾蕾一直没有想明白，身高1米8，又帅又体贴的峰峰为什么看上了自己？要知道，峰峰的前女友可是身材高挑、肤白貌美的小美女。最近，蕾蕾从峰峰身后路过时，“一不小心”看到了峰峰在聊天，而“小美女”的头像一直在跳动。蕾蕾没有问峰峰，但如晴空霹雳，又百爪挠心，想知道男票究竟和前女友说了啥。

一不做、二不休，蕾蕾想，要不干脆找到男朋友的社交帐号密码，也好时时关注“敌情”。

怎样才能神不知鬼不觉地拿到男朋友的社交帐号密码？

第一招：社工

例如：1.“最近听说某某网站放出一个密码设置最容易破解排行榜，办公室的小黄今天在那一验证，发现果然是这样，他的密码就是名字＋生日，你说傻不傻？”然后观察男朋友的神情，是比较轻松愉快还是尴尬，甚至说：“惨了，我也是这样。”

2.时不时在谈话中“套路”一下，比如在聊人生时，让他聊聊记忆深刻的事情、最喜欢的宠物、最爱的人（十有八九会被反套路，此刻要问那第二爱的人之类）、游戏昵称帐号……

3.如果他给过你其他密码，可以研究一下密码的规律，套用在新密码上。

第二招：查库

现在数据泄露不少，最好的情况是能直接查出密码；另外，不少人有使用通用密码的习惯，这样的话也相当于直接查出密码了；通过大量的数据，也有比较大的几率看出这个人的密码习惯，增加猜解密码的习惯。至于怎么查库，用搜索引擎搜索“社工库”就行了。

（编辑：ASP站长网）