※ 引述《a00561 (淡季)》之銘言：
更新
被噴之後跑去惡補一下
發現我也搞錯了
只要有跳轉過
並且沒有傻到在新網域繼續交出東西
(對，它需要啟動點。通常是木馬)
session cookie就幾乎不會被複製到
我把它套到別的東西上了，非常抱歉
反過來說
如果被複製了
那就是你給了malware太多權限
malware不一定是你現在才下載的玩意
要注意
: 剛好收到這封郵件，
: 最近也剛好有帳號問題被強迫改密碼啥的，
: 剛好就差點中標了 ，
: 來跟大家分享一下。
你這個動作並沒有「差點」中標
你已經中標了
只是你把脖子伸出去的這個地方
可能還沒有刀子砍下來
對，「還沒」
因為我們沒有看到你的手機
不知道你到底點了啥，被觸發了啥
光是點進去這個動作
就可以在outlook系統上觸發一堆控制項了
就算是封閉系統著名的iOS好了
郵件狀態預覽到了，iOS可以擋掉一堆控制項
但你為什麼還要好奇去點開超連結呢
你千不該萬不該，還去點開那個連結==
真的是罵你十句87都不為過 頭很痛
你知道現在早就在流行session cookie盜帳號了嗎
簡單快速帶過
他是為了讓使用者不需每換一個頁面
就要重新登入帳密的本地暫存
你可以把它想成
你去其他人家裡拜訪，門口警衛給你的臨時通行證
後面有其他警衛關卡時
你就不用還要再辦理一次驗證
而現在一堆
「我明明有開二步驟驗證啊，怎麼還是被盜了」
的事件，
就是因為這張臨時通行證被你亂點之下的操作
複製走了
你可以想想看
你在手機上，跟電腦上都登入你的icloud帳號
當你登入後，除了你曾經登出過，
或是你有不只一個帳號同時登入，
你的手機跟電腦曾經問過你任何一次你是不是本人嗎?
因為你的電腦裡已經有這種便民為出發點的臨時通行證了，
他讓你可以一直保持在登入的狀態
這類大型入口網站，
不可能每個使用者都一一頻繁驗證
因此雖然不是那麼安全，但在便民的出發點之下
也就向便利性妥協了
(題外話，像網銀這種狀況，就會再把有效期限縮得緊一點，譬如15分鐘就自動登出)
那所以，反過來說
你的臨時通行證被複製走了
就算今天複製你session cookie的壞人
遠在俄羅斯
他只要把這個session丟進他的電腦裡
再去連線Google、icloud等網站
他們就會認為是你本人從另一個已登入驗證過的裝置連回來
就不會再問你任何密碼、二階段驗證
因此就算是二十階段、二百階段驗證
你只要犯了你這次的錯誤，好奇點開連結
你就是已經成為別人刀俎上的魚肉了
講得嚴重一點
你點開了那個連結
就算你過了幾天發現你的icloud帳密被改掉了
我也不意外
板上稍微搜尋一下
就能發現很多訝異自己怎麼會被盜的文章了不是嗎
目前要完全安心解決
唯一方法
現在立刻去icloud
把你所有登入中的裝置一次通通踢掉
然後重新登入
再領一次新的session cookie
很麻煩對吧
所以你知道以後不該好奇亂點超連結了嗎?
: 收到的郵件長這樣
: https://i.imgur.com/l8TBqBa.jpg
: 打開長這樣
: https://i.imgur.com/wpi1MUi.jpg
: 以上跟大家分享。
: