[操作疑難] (無知幾問 純粹好奇) 關於竊取帳戶密碼和資料

digimon04

最近屋企多左D閒雜人, 大家都係連去同一隻router
咁o岩google email通知我有不尋常登入, 我估應該係巧合, 因為以前都有收過 最重要係佢地唔似電腦奇才, 最多係裝置中左毒唔知

但係出於好奇兼無知, 我想問下:

1. 有無可能透過連接同一部router, 其他人竊取我android手機入面既google account password? (過程中手機無用password login, 但有用pin/指紋解lockscreen)

2. 同上, 可唔可以竊取到連接同一router 已安裝defender的windows10電腦中的Microsoft account password? (過程中電腦無用password login, 但有用pin解lockscreen)

3. 同上, 可唔可以截取到同一時間由電腦(有防毒)的瀏覽器登入網站所用的password(用https 例如 淘佬, 銀行網頁等)

4. 都係同上, 可唔可以竊取到連接同一router 的ipad所用的apple account password (無輸入過password, 只係slide to unlock)

5. 最後, 可唔可能透過連接同一部router, 入侵其他windows, android, iOS裝置, 取得當中的檔案?

謝謝

samiux

最近屋企多左D閒雜人, 大家都係連去同一隻router
咁o岩google email通知我有不尋常登入, 我估應該係巧合,  ...
digimon04 發表於 2018-6-21 00:36

    並非危言聳聽，你以上所提及的環境基本上有一定的入侵常識都可以實行。

若果閣下有興趣和時間許可的話，可以一讀小弟劣作。

武裝自己 (資安篇)

Samiux

via HKEPC IR Pro 3.4.0 - Android(2.3.4)

digimon04

上述 1, 2, 4 的情況, 我想重申, 我並沒有輸入過相應account的password, 只係用該裝置本身PIN解鎖, 咁做即使裝置入面有keylogger, 由於我無輸入過密碼, 任何人理應都不可能透過keylogger竊取到密碼? 抑或係本身password會cache在裝置中, 有機會被入侵者竊取? 或者裝置(PIN)解鎖時, 會上傳password到相應server確認, 過程中被截取?

至於3, https網站唔係會加密傳送資料 就算過程中有中間人截取到, 應該都只有一堆亂碼?

ps. 閒雜人並非指隔離屋, 而係真係光明正大入屋, 用我提供既WPA2-PSK加密既wifi

samiux

上述 1, 2, 4 的情況, 我想重申, 我並沒有輸入過相應account的password, 只係用該裝置本身PIN解鎖, 咁做即 ...
digimon04 發表於 2018-6-21 03:21

    入侵形式和方法千變萬化和五花八門，不能盡錄，總括來說你所提及的問題都可以入侵，只是有別於你所提及的方法吧了。至於加密網站瀏覽方面，中間人攻擊是可以提取當中的數據而且是明文的。

via HKEPC IR Pro 3.4.0 - Android(2.3.4)

justiceice

你需要個有得開 guest AP 嘅 router, 連咗之後只可出街, 睇唔到同 LAN 內其他裝置

justiceice

1, 2, 4. 冇可能, 所有正常科網公司用咗 token 式認證好耐, 唔會再明文儲存你嘅密碼
3. 除非你電腦有 keylogger 或中咗其他騎劫病毒
5. 理論上有可能, 如果你嘅裝置冇做足更新, 病毒或專業黑客可以透過已知漏洞攻入, 而如果你係重要人物, 政府級機關人員亦有可能買到未被開發商知道嘅 0-day 漏洞攻入

digimon04

入侵形式和方法千變萬化和五花八門，不能盡錄，總括來說你所提及的問題都可以入侵，只是有別於你所 ...
samiux 發表於 2018-6-21 03:46

    你講講下我都開始有D驚

關於加密網站瀏覽方面，中間人攻擊如何做到明文提取當中的數據呢? 又, 應該如何防禦此類中間人攻擊呢?

補充返: 我呢個唔係public wifi, 有firewall, disabled remote login

digimon04

你需要個有得開 guest AP 嘅 router, 連咗之後只可出街, 睇唔到同 LAN 內其他裝置 ...
justiceice 發表於 2018-6-21 14:02

    有啊, AC68U可以set guest wifi, 但d訪客係屋企人D朋友, 而且一早已經由屋企人口中取得main SSID密碼, 如果宜家叫佢地改用guest wifi好似唔係幾好咁

我盡可能避免屋企有外人時login任何戶口, 但琴晚收到google warning email, 所以出於好奇問下, 其實有無可能唔入password下被竊取password

p.s. 宜家諗起可能係我用incognite mode登入時被google 當成suspicious login...

digimon04

1, 2, 4. 冇可能, 所有正常科網公司用咗 token 式認證好耐, 唔會再明文儲存你嘅密碼
3. 除非你電腦有 keylo ...
justiceice 發表於 2018-6-21 14:08

    師兄可唔可以講多少少關於token 式認證? 如果裝置本身唔儲存password, 咁點樣authenticate我輸入的password係match我的account ID?

另外, 裝置會唔會上傳我每次unlock時輸入的password(假設係password unlock)或定期上傳我的password(假設係PIN/指紋 unlock)去 服務提供者的server (例如microsoft) 做authentication? 而過程中會唔會被中間人攻擊截取到?