北京联通的WLAN的认证方式很蹊跷


很多地方,wifi的认证方式都是基于web的,而不是802.1x那套WEP/WPA/WPA2之类的,我不明白为什么。最近联通推出了免费WLAN体验活动,首先,它提供一个不加密的公开的Wifi,连接之后,通过网页认证,以http方式(不是https)提交一个表单,里面含用户名密码的明文。于是我诧异的就是,如果这套系统真的开始收费,那么窃听到密码岂不是太容易了吗?
我大致看了一下,认证的时候,是往http://202.106.46.37/login.do post一个表单,含以下参数
allowNumber 186,156,130,133,131,132
basname
localArea bj
localNeedAuthId yes
password 123456
passwordType 6
roamNeedAuthID no
savepwd 0
username 18610290001
userOpenAddress bj
然后每隔20秒,发一个http get的keepalive: http://202.106.46.37/keepalive.do?rand=0.4706242383564883 ,cookie里面含有电话号码、jsessionid、以及密码。
如果是每隔20秒一个这样的包,如果这套系统真的开始收费,那么窃听到密码岂不是太容易了吗? 难道又是临时工干的?

此博客中的热门博文

在windows下使用llvm+clang

少写代码,多读别人写的代码

tensorflow distributed runtime初窥