為什么在Snoop中可以看到PasswordBox的密碼？

Question

我試圖了解PasswordBox如何保護從外部應用程序讀取密碼。 我不明白的是，我怎么能用Snoop讀取WPF窗口的密碼：

我認為這是PasswordBox應該解決的那種違規行為。

Answer 1

為了能夠在某一時刻或另一地點被使用，密碼必須作為明文字符串存儲在內存中和/或必須作為明文字符串可檢索。 SecureString和PasswordBox限制了該漏洞的持續時間。 但是他們不能擺脫它。 它可以做一些事情，例如由GC強制收集，防止像字符串迭代這樣的優化，甚至在超出范圍時用隨機數據覆蓋內存。

Passwrod屬性是您檢索裸露字符串的方式。 snoop可以像查詢代碼一樣查詢它。

我個人認為，如果攻擊者可以讀取您的記憶，則您已經幾乎失去了安全之戰。 如果您在內存中獲得了加密的值，則也可能在那里擁有密鑰。 連同實際在兩者上都起作用的代碼。 因此，這並不像攻擊者無法以相同的方式解密它。 任務稍微復雜一點，但僅此而已。

內存讀取的漏洞是Heartbleed之所以如此重要的原因。 您必須盲目地信任RAM。 因為如果它遭到破壞，您將無能為力。