如果我在错误的站点上输入密码，是否应该认为该密码已被泄露？

#1 楼

只是扮演恶魔的拥护者...

就像在两个站点上使用相同的密码一样，您很容易受到损害。

正如大多数人指出的那样，您可能不必担心。并不是因为网站无法区分密码的正确与否，而是因为您将访问的大多数网站可能不会记录您的密码。原因很简单，它没有为他们提供任何价值。大多数网站都在那里开展合法业务，因此，记录下每个输入的密码对恶意软件没有任何价值。

如果我有恶意，想收集许多可能的密码，并在网上托管服务，收集密码可能比尝试暴力破解所有可能的组合更好。如果您托管这种“服务”，则捕获所有密码，甚至包括错误的密码，也不是一个坏主意。具有多个密码的用户很可能会在错误的站点上输入错误的密码，因此，记录好尝试和好尝试都是很好的攻击计划。

例如，请考虑以下https：/ /howsecureismypassword.net/


该网站可能正在窃取您的密码……虽然不是，但是很容易。
请小心输入密码。


它使事物变得透视。另外，这种邪恶的“服务”难道不是那么容易吗？很难说，但是可以肯定的是，它不是什么新东西：https://xkcd.com/792/

注意*：嗯，我确实说了“可能”，但这并不是真的。通过在许多站点上使用相同的密码，您不仅容易受到恶意站点的攻击，而且还容易受到站点所有者的攻击。许多网站仍将您的密码以纯文本格式存储在其数据库中，或者使用弱散列，这意味着，如果攻击者能够窃取其数据库，您的密码就会受到威胁。

#2 楼

您可能还不错-正确的网站密码和错误的网站密码之间没有特别的区别。即使存在，密码输入错误的站点也不会知道应该在哪个站点上使用。

这是在考虑登录失败后登录密码的罕见情况尝试。

对其进行更改无害，但是除非您将其他站点的名称用作密码，否则似乎不太可能有人可以使用该信息。

#3 楼

虽然我认为大多数理智的Web开发人员都不会记录失败密码尝试的明文版本，但这仍然是可能的。如果您想安全起见，可以认为它已受到威胁并重设该密码。但是，除非我完全合理地怀疑第一个站点可能给我带来风险，否则我个人不会真的将其视为一个问题。

#4 楼

我唯一要更改此密码的情况是，它所保护的网站对您的保护远比您键入的网站重要得多。

例如，世界上有些人拥有访问民族国家参与者可能会感兴趣的系统。如果这些人将重要密码输入其他站点，则应立即更改。

#5 楼

将密码视为已泄露。没有人可以向您保证


该站点没有恶意的系统管理员。
该站点具有哈希或加密的密码。
它们缺少允许重新获取的sql注入漏洞。数据，包括用户名/电子邮件/密码。
访问此数据的任何人都敢于测试对其他多个站点的入侵，而您很不幸，他们会碰到那个站点。

由于上述任何一项或全部都存在的可能性很小，因此您的密码已经被盗。

凭经验，密码消失了，密码无效。更改密码并进入睡眠状态。

另一个不同的历史记录是您是否真的想浪费时间更改不保护任何内容的密码（例如，空博客，无用的电子邮件帐户等）或您的银行帐户。 br />

#6 楼

术语“妥协”不是二进制的“是”或“否”。它是一个概念，用于衡量谁有权访问帐户，以及他们的目标可能与您的目标有多少不同。

在这种情况下，假设任何可能访问www.example.com的登录名的人现在都有你的密码。这包括攻击了www.example.com的任何人以及www.example.com的领导层可以信任并拥有足够权限来从用户（可能是少数DBA）中收集用户密码的任何员工。

数据。去那边如果您使用了用于保护论坛上机密信息的密码，则应立即将其视为已泄露，因为这种特权帐户无法接受这种暴露水平。如果您在另一个论坛上使用了一个论坛的密码，可能不是最大的交易。

在中间，您可能会考虑在论坛上使用银行帐户密码的情况。这是一个灰色区域，完全取决于您的个人威胁模型。

#7 楼

如果该网站（好吧，背后的人）是恶意的，那么它将把失败的密码添加到它所知道的有关您的事物的列表中，并且肯定会考虑对它知道的其他每个帐户进行尝试的策略。 。因此，您应该认为它受到了损害。
如果网站不称职，则可能会以某种方式泄漏您失败的密码。但是，如果这样做，还会泄漏很多自己的密码输入错误，这对他们来说确实是很严重的。因此，它必须确实相当不称职。
如果该站点基本正常，那么您就可以了，它不会保留任何失败密码的记录（或成功记录密码的记录，除了经过哈希处理和加盐处理外）记录）。

请注意，本身已受到攻击的网站可以合理地视为恶意网站。

因此，您需要在风险非常大的风险之间进行权衡恶意，非常不称职或非常被黑，并且密码的相关成本受到损害，而不是更改密码所带来的成本。

如果您担心风险可能很大，请更改密码。当使用密码管理器时，这通常非常容易，这不像您必须学习新的密码管理器。但是，您的工作很有可能是不必要的，因为大多数网站在大多数时间都是“基本正常”。

您还应该仔细考虑导致错误的原因。您将凭据输入到“错误的站点”这一事实是可以理解的错误，但是请确保在输入凭据之前，您没有系统地未能正确验证站点的身份，否则您在那里容易受到攻击。

#8 楼

如果您已将网站A的密码输入到网站B中，

请考虑几个方面-
Web B的信任程度如何？
Web B是否是著名的公司，符合市场标准
Web A的内容真的很容易受到攻击吗？
是否可以通过密码猜测它属于哪个网站？

如果您对这些内容感到困惑问题，只需更改即可。

您将永远不会知道WebManager / SysAdmin是将密码作为原始文本还是可解密的加密存储在服务器中，或者他们是通过一种哈希方式保护密码的。

#9 楼

您在此网站输入了错误的密码facebook.com吗？

http://www.businessinsider.com/how-mark-zuckerberg-hacked-into-the-harvard-crimson-2010-3


马克使用他的网站TheFacebook.com来查找该网站的成员，这些成员将自己标识为绯红色的成员。然后，他检查了登录失败的日志，以查看是否有任何Crimson成员曾经在TheFacebook.com中输入错误的密码。如果他们输入的案例登录失败，Mark尝试使用它们访问Crimson成员的哈佛电子邮件帐户。他成功访问了其中两个。

#10 楼

让我们装备传奇的[Tinfoil Hat]。


网站可以登录我的密码吗？

让我们假设该网站正确地进行了哈希处理。当您登录网站时，他们可以获取您的纯文本密码并将其与存储的哈希值进行比较。如果密码与数据库中存储的哈希匹配，它将允许您进行身份验证。如果不是，它将通知您密码无效。

那又如何呢？

好吧，碰巧有任何编程知识的任何人都可以通过在任何类型的网站的身份验证方法中添加新行来记录无效密码，即使它是受欢迎的开放式网站，源Web门户，论坛或任何类型的软件包。只要可以修改源，就可以更改所需的任何内容，例如：

private void CheckPasswordBeforeHackingMyAOL-CD(string input, string username)
{
    if (IsValid(input) && IsValid(username) && Bcrypt.TestHash(input, Database.GetHashForUser(username))
    {
        AuthenticateMyFace();
    }
    else
    {
        Database.LogFailedAttemptDetailsWithParametersBecauseSQLInjectionSucks(username, input);
        InformUserThatTheirPasswordDoesntWorkButDontTellThemWhatWereReallyDoing();
    }
}

实际上，程序员可以在对所有必须使用密码。没有什么可以阻止任何人这样做的。


风险管理

以下是需要考虑的一些问题：


您是否关心两个帐户的完整性？
两个帐户使用的电子邮件是否相同？
您是否对所涉及的电子邮件和网站使用相同的密码（我希望不要）？

如果是1-3，建议您更改密码。除非您不在乎。

现在我们已经证明了在每条线上都有可能，您是否应该担心这种攻击？我不用担心。如果您担心，则可能应该使用KeePass之类的方法来管理网站凭据，这样就不必担心了。