周末的早上，托尼我正在溫暖的小窩里沉眠，享受國(guó)慶加班七天樂(lè)之后的假期。 

突然被一個(gè)朋友的電話給炸醒。 

醒醒，你號(hào)沒(méi)了 ▼

啥子情況，讓多年沒(méi)有聯(lián)系的朋友突然聯(lián)系我。 

點(diǎn)開(kāi)這張圖仔細(xì)一看，好家伙，居然是一封給我的勒索信件。

還發(fā)到我朋友賬號(hào)上了？ 

這黑客是 “ 來(lái)勢(shì)洶洶 ” 啊，不但自稱駭入了我的電腦設(shè)備，而且我的麥克風(fēng)啊，鍵盤，顯示器這些硬件有一個(gè)算一個(gè)，都在他的控制之下。 

非但如此，還有能力把我的各種信息給 “ 加點(diǎn)料 ”，做成視頻，然后發(fā)給我的朋友們鑒賞。 

嗯？？？我難道就要這樣輕而易舉的社死了嗎？ 

此刻，我腦海中已經(jīng)過(guò)了一遍 “ 夢(mèng)想小鎮(zhèn)天使村有人被勒索郵件詐騙 ” 的橫幅了。 

 可我托尼絕不對(duì)輕易的狗帶，這黑客大哥也很溫柔，也給了我一個(gè)機(jī)會(huì)從他手中逃離。 

只要花費(fèi)價(jià)值 1250 美刀的比特幣，就可以讓我洗心革面，重新獲得在天使村呼吸的權(quán)力。 

不然啊，就會(huì)讓我吃不了后悔藥的走。 

順便呢，這位大哥為了證明他確實(shí)了解我，控制了我的電腦，在郵件里還附帶了一張我當(dāng)時(shí)電腦上的截圖。 

臨走之前還很霸道的留下了一句： 

勒索 1250 刀。。。把我賣了都沒(méi)這么多錢啊。 

粉身碎骨渾不怕，要留清白在人間！，我這珍藏多年的聊天記錄可不能被別人看到。

這么貴的勒索，要不。。。要不還是重裝系統(tǒng)吧。 

所以話說(shuō)回來(lái)，我到底是怎么中招的呢？死也要死個(gè)明白。 

略加思索，決定還是從郵件里提到的那個(gè)日子開(kāi)始回憶。。。 

那段時(shí)間為了幫差評(píng)君找資料，好像確實(shí)下載了一個(gè)不該下的軟件，并且運(yùn)行了這個(gè)陌生的程序。 

都怪差評(píng)君！??！

不過(guò)我電腦里頭的殺毒軟件也很靈光，當(dāng)場(chǎng)進(jìn)行一個(gè)報(bào)錯(cuò)。 （ 沒(méi)有截圖，建議腦補(bǔ) ）

看著電腦爆出來(lái)的風(fēng)險(xiǎn)提示，再傻我也是第一時(shí)間反應(yīng)過(guò)來(lái)，當(dāng)場(chǎng)終止了進(jìn)程 + 斬草除根刪除軟件 + 搖了一個(gè)外援來(lái)幫忙一起解決電腦問(wèn)題。 

有一說(shuō)一， 360 極速版用起來(lái)還行 

當(dāng)時(shí)是覺(jué)得自己清理得已經(jīng)足夠到位，也就讓事情告一段落了。 

沒(méi)想到這幾天我的索尼賬戶一直被人嘗試登錄。 

不過(guò) PS5 玩的不太多 + 工作太忙了， 就沒(méi)放在心上

再結(jié)合這次被朋友提醒我是郵箱的問(wèn)題，于是也順藤摸瓜的找了一下自己的郵箱。 

 果然其實(shí)我也收到了類似的郵件  —— 只不過(guò)被垃圾郵件屏蔽了。 

而且仔細(xì)一看這份郵件抄送的名單，基本都是我之前在這臺(tái)電腦上登陸過(guò)的賬號(hào)。 

這也是為啥我朋友也會(huì)收到勒索郵件的原因 

所以。。。結(jié)果也是非常清晰 —— 我電腦上 Chrome 登錄的賬號(hào)都被黑客獲取了。 

除了賬號(hào)，還有密碼。

那既然問(wèn)題出現(xiàn)在 Chrome 這兒，我就開(kāi)始對(duì)他的密碼管理策略開(kāi)始好奇了。 

已知 1 ：我們所有存儲(chǔ)的賬號(hào)都被盜了。 

已知 2 ：其中部分被盜的賬號(hào)在被瘋狂登錄，也就是代表著密碼已經(jīng)泄露。 

所以兩者拿來(lái)一看， Chrome 保存在本地的密碼不安全，入侵者可以在很短的時(shí)間里就盜取到大家的密碼？ 

 略微研究了一下，發(fā)現(xiàn)這事還真沒(méi)我想象的這么復(fù)雜。。。 

Chrome 的密碼保護(hù)機(jī)制，的確做的要多簡(jiǎn)單就有多簡(jiǎn)單。 

或者說(shuō)，根本不安全。

大家可以回憶一下咱們用 Chrome 的樣子，每次自動(dòng)填充密碼的時(shí)候，是不是都非常 “ 無(wú)感 ” 的直接把咱們的賬號(hào)和密碼都填進(jìn)去了。 

隨便打開(kāi)某個(gè)登錄界面的樣子 

便利是便利了，但是你說(shuō)這是不是 “ 便利 ” 過(guò)頭了呢？ 

不但不需要任何驗(yàn)證就能知道我們能否登錄這些網(wǎng)站，并且直接幫你把密碼填充好了。 

而且面子上防范輕松也就算了，就連存放我們密碼的庫(kù)里面也 沒(méi)有做多少安全措施。 

 任何一個(gè)知道你電腦解鎖密碼的人，都可以很輕松的獲取你瀏覽器里存儲(chǔ)的任何一個(gè)密碼。 

不過(guò)我遭遇的顯然不是這種情況，入侵者是用一種更暴力的方法直接獲取了我的全部密碼。 

雖然表面上，Chrome 雖然會(huì)對(duì)我們的密碼進(jìn)行一個(gè)加密。 

但是這個(gè)加密文件存放的地方吧。。。是一個(gè)固定的位置。

這個(gè)保險(xiǎn)箱的位置就在： 

C : \Users\<PCName>\AppData\Local\Google\Chrome\User Data\Default\Login Data這個(gè)地址中。 

找到它之后通過(guò) SQLite3 數(shù)據(jù)庫(kù)進(jìn)行連接，就可以找到我們存儲(chǔ)的 “ 網(wǎng)址 ” —— “ 賬號(hào) ” —— “ 加密后的密碼 ” 這三者的對(duì)應(yīng)關(guān)系了。 

至少到這一步還是有些安全的，因?yàn)樗吘故莻€(gè)保險(xiǎn)箱，想打開(kāi)高低還是需要一把鑰匙。 

但很可惜，這把鑰匙放的地方也非常的 “ 專一 ”，就藏在我們本地系統(tǒng)的： 

C : \Users\<PC Name>\AppData\Local\Google\Chrome\User Data\Local State

當(dāng)中，一模一樣，不帶變化的。

用記事本打開(kāi)這個(gè)文件搜索 “ encrypt ”，就能獲得這把解開(kāi)保險(xiǎn)庫(kù)的鑰匙了。 

是不是非常簡(jiǎn)單。 

谷歌用的加密算法雖然是安全性比較高的 AES，但也架不住它把密文和密鑰都放在原地啊。。。 

在兩者都暴露后，通過(guò) Windows 自己提供的解密函數(shù) CryptUnprotectData（ dpapi.h） ，我們的密碼就會(huì)瞬間被人看個(gè)精光。 

 托尼也讓世超幫忙找了一個(gè)腳本體驗(yàn)了一下，我那可憐的密碼當(dāng)場(chǎng)被進(jìn)行了一個(gè)二次破譯。。。 

（ 這里解密調(diào)用的是微軟自己的 win 32 的 dpapi 函數(shù)，需要在本機(jī)上進(jìn)行破譯（ 意思是別人拷貝走了你這兩個(gè)文件也沒(méi)有用 ） ） 

沒(méi)錯(cuò)，在 Windows 上破解 Chrome 密碼就是這么簡(jiǎn)單，甚至不需要管理員權(quán)限，或許連風(fēng)險(xiǎn)提示都不會(huì)有。

 而且，谷歌完全清楚這件事。 

早在 2013 年左右就有過(guò)回應(yīng)：“ 如果有人入侵了你的系統(tǒng)用戶賬號(hào)，即使再多的安全措施也是無(wú)用的。就是如果賊人進(jìn)入了你的家中，那么你家中所有的物品都是有危險(xiǎn)的?！?/span>

乍一聽(tīng)是有一點(diǎn)道理，是不是如果托尼我自己注意安全，不去點(diǎn)開(kāi)那些來(lái)歷不明的軟件，那不是就萬(wàn)事大吉了嘛？ 

但仔細(xì)一想就會(huì)發(fā)現(xiàn)谷歌在這兒 “ 不作為 ” 的甩鍋言論有多離譜，我作為用戶，確實(shí)一不小心把賊人放進(jìn)了家中。 

但這不代表你能把我家里的保險(xiǎn)箱和鑰匙都擺在大門口吧。 

海賊王羅杰在死前都知道把自己的寶藏給藏在 “ 偉大航線 ” 的盡頭 

那谷歌作為全球使用人數(shù)最多的瀏覽器，作為全球頂級(jí)的搜索引擎開(kāi)發(fā)商，遇到這種用戶隱私的問(wèn)題，不去想著如何保護(hù)大家，反而先去責(zé)怪用戶粗心大意？ 

 這怎么也說(shuō)不過(guò)去吧。 

雖然我也清楚，當(dāng)自己家門被攻破后，任何防護(hù)方法或許都不能做到 100% 的安全，但同樣是做不到絕對(duì)的安全，別的廠商也在嘗試各種不同的辦法來(lái)保護(hù)大家。 

MacOS 選擇用鑰匙鏈保護(hù)大家的隱私，通過(guò)額外的加密來(lái)保護(hù)用戶的密碼。 

 都快死掉的 FireFox 也可以讓用戶選擇用主密碼來(lái)進(jìn)行二次防護(hù)。 

或者你對(duì)大廠們的服務(wù)不放心的話，也可以選擇一些本地的第三方密碼本軟件，比如 付費(fèi)的 1Password 可以選擇本地密碼保存，或者自己搭建免費(fèi)開(kāi)源的 Bitwarden 服務(wù)。 

大家各有各自的過(guò)法，但都沒(méi)有和谷歌一樣，選擇把密碼放在最顯眼的地方。

版權(quán)說(shuō)明：
本文僅代表作者個(gè)人觀點(diǎn)，版權(quán)歸原創(chuàng)者所有。部分圖片源自網(wǎng)絡(luò)，未能核實(shí)歸屬。本文僅為分享，不為商業(yè)用途。若錯(cuò)標(biāo)或侵權(quán)，請(qǐng)與我們聯(lián)系刪除。

本文僅代表作者觀點(diǎn)，版權(quán)歸原創(chuàng)者所有，如需轉(zhuǎn)載請(qǐng)?jiān)谖闹凶⒚鱽?lái)源及作者名字。

免責(zé)聲明：本文系轉(zhuǎn)載編輯文章，僅作分享之用。如分享內(nèi)容、圖片侵犯到您的版權(quán)或非授權(quán)發(fā)布，請(qǐng)及時(shí)與我們聯(lián)系進(jìn)行審核處理或刪除，您可以發(fā)送材料至郵箱：service@tojoy.com