如何通过审查元素获得账号密码

打开浏览器开发者工具，何通号密按下F12，过审切到Network标签页，查元刷新一下登录页面，素获输入账号密码点登录。得账你会在请求列表里看到一条POST请求，何通号密点开它，过审在Form Data或Payload区域，查元密码就明晃晃地躺在那里。素获整个过程不超过十秒。得账

这不是何通号密什么高深技巧，浏览器为了调试方便，过审把前端发出的查元所有数据都记录在案。要是素获网站没做加密处理，密码就是得账纯文本传输。我见过不少中小型后台管理系统，甚至某些银行内部工具，密码直接裸奔。你不需要是黑客，不需要会写代码，只要会点鼠标，就能看到别人输入的密码——前提是你得能碰到那台电脑。

但这里有个关键前提：你得先有权限打开那台设备的开发者工具。如果电脑锁着屏，或者你根本没登录系统，这招完全没用。所以“审查元素看密码”这事的适用场景，其实是同设备上的越权访问——比如同事临时借你电脑，没关浏览器里的登录态，你翻翻历史记录就能找到他之前提交的表单数据。

另一种情况更常见，也更值得警惕：有些网站的“记住密码”功能只是在前端隐藏了密码字段。你把input标签的type="password"改成type="text"，原本显示为圆点的密码立刻变成明文。这个操作连Network面板都不用开，直接在Elements里右键编辑HTML就行。我做过测试，国内某知名招聘网站的旧版登录页就存在这个问题，改一个属性就能看到所有保存过的账号。

说这些不是教你去偷窥谁的隐私，而是想指出一个事实：很多所谓的“安全防护”其实形同虚设。开发者图省事，把敏感信息放在前端代码里，或者用可逆的编码方式存储——Base64加密都算不上加密，解码工具网上到处都有。真正的安全必须依赖后端逻辑，前端做的一切都只是延迟被破解的时间，而不是阻止被破解。

你可能会问：那HTTPS呢？加密传输总安全了吧。没错，HTTPS能防止数据在传输途中被截获，但它防不住浏览器本身的记录。开发者工具是浏览器自带的调试功能，它能看到的是你本机发出的原始请求。换句话说，HTTPS保护的是网络通道，不保护终端设备——这就像你给信件套了层防弹信封，但收信人拆开信封后直接把信摊在桌上，谁路过都能看两眼。

当然，我讲这些不是为了制造恐慌。实际上，普通人遇到这种风险的概率很低，除非你身边的人对你有恶意，或者你的设备已经被植入恶意软件。真正该上心的是开发者——如果连密码这种基础数据都做不好前端防护，那用户数据泄露只是时间问题。前阵子有个开源项目，登录接口直接把密码参数写在URL里，服务器日志一查全露馅，这种低级错误到现在还频繁出现在各大漏洞报告平台上。

所以下次你看到有人对着浏览器按F12，别以为他在搞什么高科技。他可能只是在验证某个网站的安全设计有多敷衍——或者，单纯想看看你保存的密码到底有多弱。

本文地址：http://www.79wt.cn/news/1953b199803.html