HOTMAIL莫名其妙被黑？？？！！！

igotowhere

昨天早上收到一个垃圾邮件一看是一个朋友的hotmail被黑，发过来的拉圾邮件，点进去一看是一个卖药的网站，伪装成BBC的网站。这个网站没有要求你输入任何密码或有任何操作。

于是我给我朋友发邮件，让他改密码。

就在下午的时候，我收到微软的手机短信说可能有人登录我的邮箱。当时觉的挺奇怪，于是就把密码改了。回头看了一下发件箱，我靠！有垃圾程序已经给我联系簿里的所有人发了同样的垃圾邮件。

这个病毒太厉害了吧，它是怎么获得我邮箱的密码？

如下是垃圾邮件里唯一的链接。

audreamer

把链接贴上来给大家看看。

igotowhere

audreamer 发表于 2014-6-24 11:06
把链接贴上来给大家看看。

链接就是上面的图片。
我怀疑这个URL里包含我邮箱的密码，所以涂掉了一些。

audreamer

你在hotmail里有没有点选"Keep me signed in"？你的密码不会在上面的链接，但是链接有可能里面包含你登陆hotmail的cookie数据，所以对方不知道用户名和密码的情况下也可以登陆你的hotmail.

igotowhere

audreamer 发表于 2014-6-24 11:15
你在hotmail里有没有点选"Keep me signed in"？你的密码不会在上面的链接，但是链接有可能里面包含你登陆ho ...

我是选择“Keep me signed in”的。

一个邮件怎么会获得我本地的Cookie?

brahmasky

很早以前曾经试过在一些大型网站的URL里面输入一样的字符串可以拿到另外一个人的session，不知道现在是不是还这样

audreamer

igotowhere 发表于 2014-6-24 11:27
我是选择“Keep me signed in”的。

一个邮件怎么会获得我本地的Cookie?

JavaScript

igotowhere

audreamer 发表于 2014-6-24 11:57
JavaScript

不会吧，
如果一个JS程序都可以窃取密码？
那“Keep me signed in”这个功能岂不是太不安全了？

stevenbian

我来一个不负责的猜测。
上次不是有邮箱密码泄漏事件嘛，有可能你的密码已经泄漏了，你点的链接只是验证了你的邮箱的有效性。

igotowhere

stevenbian 发表于 2014-6-24 13:26
我来一个不负责的猜测。
上次不是有邮箱密码泄漏事件嘛，有可能你的密码已经泄漏了，你点的链接只是验证了 ...

一直很小心，结果，，，，，，，

stevenbian

igotowhere 发表于 2014-6-24 13:27
一直很小心，结果，，，，，，，

人生终于完整了

audreamer

igotowhere 发表于 2014-6-24 13:08
不会吧，
如果一个JS程序都可以窃取密码？
那“Keep me signed in”这个功能岂不是太不安全了？ ...

JS不能读取你的密码，但能读出Cookie