收到了支付宝的安全校验短信，不知道和这次的 OpenSSL 漏洞有关与否

[ritksm]

昨天（9号）晚上十点的时候收到的，但是那个时候并没有使用支付宝。无论是手机还是电脑（人在外面）

于是就猜想。。是不是有人在试我的密码。。回来立马就改了两个密码。。唉

然后搜了下微博发现。。



也不知道当信不当信，但愿是个例！

[lightforce]

http://www.wooyun.org/bugs/wooyun-2014-055932

[ritksm]

@lightforce 保存明文密码有点不厚道了...只好呵呵了...

[for4]

@ritksm 读取的是内存中的明文密码，不代表明文保存。

[senghoo]

@for4 密码不是应该哈希后保存对比的么。。

[for4]

@senghoo 这个密码是浏览器POST到Webserver的内容，绝大部分都是明文的。

[ritksm]

@for4 但为什么会在内存里停留“一段时间”呢。。难道不是阅后即焚？

[zzNucker]

@ritksm 。。。。。。 内存不是你想焚，想焚就能焚。

[niseter]

@ritksm 客户端把密码发到服务器，往往是明文套壳SSL，然后服务器比较，比较过程就是在内存啊亲。