发布于: 雪球转发：5回复：29喜欢：4
今天在研究系统的安全隐患问题，做一些常用网站的方案研究

突然明白为何上次爆发很多apple id被盗用多是163邮箱的原因了

以下就是我们测试抓包发现，赤裸裸地明文账号和密码。。。。。

所以，奉劝大家不要用163邮箱做自己的重要个人邮箱和验证信息邮箱

另外也不要随意在外面登陆不明WIFI（这样你的登陆信息可能被人抓包记录）

$网易(NTES)$ 

下图就是我们抓包的截图，赤裸裸！！！！！

全部讨论

lsk_2016-04-25 22:06

楼上俩哥们讨论md5 rsa 我也是醉了。。。
md5 1次和3次有区别？现在都有md5库 rsa用来非对称传输密钥的 和密码如何保存没鸟关系 tls保证tcp的安全传输 至于密码如何保存 那就又是个领域的问题

onedot2016-04-25 21:05

md5几次如果直接传输都一样容易被直接伪造，rsa加密更可靠

老农X2016-04-25 20:38

后端保存的也是三五次的，明码都不保存了

onedot2016-04-25 17:13

HTTPS只是传输过程加密了，但如果走代理什么的，代理端还是可以得到吧。另外HTTPS+SSL还有一些新风险，比如APP的BUG奔溃跟踪类的第三方服务其实就是可以获得HTTPS的内容，因为APP本身接收到API返回结果就是解密了（否则后续怎么处理数据）

理观世界2016-04-25 17:09

既然使用了https，就可以使用密钥对内容加密，中间人看不到明文。

onedot2016-04-25 17:02

其实我截图抓取的请求就是HTTPS，但问题在于如果被中间人（路由、代理、VPN）等截取的就是明文

危机百科2016-04-25 17:00

哈哈哈那是自然，AWS自建VPN才是王道啊

理观世界2016-04-25 16:56

这是个大问题，我的appleid也使用的网易邮箱。刚才看了一下，网易没有使用https方式登录，QQ邮箱倒是使用了。

onedot2016-04-25 16:55

对了，对VPN翻墙爱好者来说，切记切记也不安全

onedot2016-04-25 16:54

只要你在外面用过WIFI或VPN都有可能