在用户名字段中提交密码对安全性有何影响？

假设我在经常访问的网站（当然是https）的用户名文本框中输入密码，然后按回车，直到我注意到自己在做什么。

我的密码现在是否以纯文本格式保存在日志文件中的某个位置？狡猾的罪犯如何利用我的错误？帮助我理解实际的安全隐患，无论它实际发生的可能性如何。

security passwords

— 代理人
source

我不明白为什么这个问题被标记为“基于观点”。它清楚地询问“什么是安全隐患”，它可以（并且至少在得到公认的答案的情况下）得到事实的支持。

— Calimo

这是在security.stackexchange.com

— kinokijuf 2014年

@kinokijuf：当然，我首先考虑了这一点Information Security Stack Exchange is a question and answer site for Information security professionals。我不是一个，我认为我们不需要一个人来回答这个问题。我犯了一个任何用户都可能犯的错误，我认为答案对用户而不是安全专业人员很有趣。但是我肯定是错的。

— agentnega 2014年

没错，它应该以“太宽泛”的形式关闭

— 随机性

Answers:

这取决于站点的身份验证系统的配置。如果设置为记录任何尝试-比是，它现在以纯文本格式出现在日志（文本文件或数据库）中。它可能看起来像这样：

12-Feb-2014 12:00:00 AM: Unsuccessful login attempt user (YOUR_PASSWORD_HERE) from (YOUR_IP_HERE);

或类似。

仍然确实，普通用户将无法访问密码。仅适用于有权访问日志文件的用户。

它意味着什么后果？

如果服务器受到威胁-黑客理论上将拥有您的纯文本密码。
网站的管理员可能会定期浏览日志文件，并意外找到您的密码。然后，他可以找到该记录的IP地址，从而从理论上可以找到您的用户名和电子邮件（因为他可以访问数据库）。

因此，如果您在其他资源上使用相同的电子邮件/用户名/密码，则不要立即进行更改。因为有可能会找到您的密码。日志可以在服务器上保留多年。

— VL-80
source

您的尝试可能也会有本地记录。许多（大多数？）浏览器都具有默认情况下启用的自动填充功能，并会保存某些表单项-用户名，电子邮件地址，电话号码等，以方便您。如果再次打开登录页面，请单击用户名字段，然后按向下箭头键，您可能会看到密码和用户名一起列出。您可以从列表中删除它，但是，为了绝对安全，最好按照上面的建议更改密码。

— gm2 2014年

就像您说的那样，Web应用程序倾向于保留未成功登录尝试的日志。如果有人要查看日志，则可以将该特定的登录尝试与您的另一个成功尝试（即通过IP地址）连接起来。

尽管我认为这不太可能发生，但是您可以随时更改它。

— 多米尼克扎克
source