Question

    function submit_login()
{
    $.ajax({
          type: "POST",
          url: "index.php",
          data: "username="+$("#username").val()+"&password="+$("#password").val()+(( $("#remember:checked").val() !== undefined ) ? "&remember=1" : ''),
          success: function(data){
             if (data){
                window.location.reload(true);
             }else{
                $('.error').effect('pulsate',100);
               /* $('#username, #password').animate({
                                    backgroundColor: "#aa0000",
                                    color: "#fff"
                                }, 1000 ); */
            }
     }
    });
}

Answer 1

不安全。应该使用https //：

用户名和密码以明文形式传输。一个简单的IP嗅探器可以读取它。特别是当标签是用户名和密码时。太容易了。

您确实意识到这就是HTTPS存在的原因。

有黑客将嗅探器连接到Internet Backbone并设置一个非常简单易用的IP嗅探器，用于监视IP流量，嗅探器查找“密码”一词，并捕获该IP地址的数据包。 />

在企业环境中，有人在公司LAN上嗅探IP数据包是很常见的。许多电子邮件客户端都像您一样发送用户名和密码。任何关心的人都可以使用它。

IP Sniffer软件有大约5-10分钟的学习曲线，不需要任何技术知识。

这是一个典型的场景。有人向您提交用户名和密码。你通过AJAX传递它，这与从浏览器窗口提交表单没有什么不同，有人会捕获IP数据包。这个从你的AJAX请求中嗅到密码的人就是一个白痴，他的银行账号使用相同的用户名和密码。

黑客耗尽帐户，被抓住，并且因为愚蠢的用户名和密码（你的IP地址也在IP数据包中）而被淘汰。骗子不会付钱。谁对从银行账户中窃取的钱有法律责任？

你不仅仅是骗子。这是一个愚蠢的程序员，给骗子提供了机会，而且比骗子更容易受到指责。有一个巨大的数十亿美元的行业只是因为愚蠢的程序员明确地发送密码。

至少你在帮助经济。

这段代码是否可以免受黑客攻击？或黑客可以操纵它并获得管理员权限？

1 个答案: