你是否知道：每当你在网站上输入用户名和密码后敲回车键，实际上将你的密码发送出去。这个你当然知道。毕竟，除此之外，又有什么办法可以向网站验证自己的身份?
一、前言
可是，如果网站允许你使用HTTP协议验证身份，捕获该流量，之后通过局域网(甚至通过互联网)从任何机器来分析此流量其实很简单。这意味着，只有网站使用HTTP协议用于验证身份，有人就能解使用该网站的密码。要想通过互联网来破解网站密码，你就需要能够位于网关或中央集线器上(如果你获得访问权，流量通过其来转发，BGP路由器也可以)。
但是从局域网来破解密码很容易;与此同时，你不由得想：HTTP到底有多不安全。你可以针对室友、办公网络或者甚至学校、学院或大学网络，试着破解密码，假设网络允许广播流量，你的网卡又可以设置成混杂模式。
本博客我将针对一个简单的网站试一下截获。我将隐藏密码的一部分(完全出于隐私)。出于本文的需求，我将在一台机器上演示每一步过程。至于各个网友，可以在两台VirtualBox/VMWare/物理机器之间试一下。
二、步骤
1、获取截获网站的IP，我选择学校图书馆。可以ping一下该网址的地址，就可以返回IP地址。
2、工具使用之前的安装与环境变量的设置，本博客就不废话了，直接登入wireshark，激动网络链接，试一下截获数据包看下。
3、设置过滤器：http and ip.addr==202.117.124.133
4、用户登入网站，该网站是超文本协议，抓取数据包。
5、查看wireshark工具，停止捕获，删选POST登入。用时找到自己登入的网址登入信息，发现：
可以得到本机与网络传输的数据包，传输协议；尤其在post登入操作中，知道账号密码都是明文传输的（这里因为隐私所以在密码上打码了，）。无需多加什么破解软件和破解网站就可以代替真实用户执行相关操作。对真实用户有可能造成相当的损害！！！
三、结束语
经过试验，在同一个局域网内，同样容易实施截获。坦率地说，每一个网站所有者都实现SSL技术来保护密码安全是不可能的，因为采用标准的SSL（TLS）技术需要每个URL高达1500美元的费用。即使有些网站在用户登入过程中进行过程中实施散列机制，起码密码已经过散列处理，相当于增添了一道障碍，以免别人轻轻松松就能破解网站密码。但是一般用户不清楚有没有保护机制或者是否每次都记得提醒自己。因此，平常当我们享受互联网带来给我方便时，也要注意隐私的安全保护。