善用佳软

Evernote Windows本地数据安全注意事项(2)

网友 keeds 发现 Evernote Windows 存在一个令他“非常无语的安全问题”：通过改写注册表，就能在不登录不输密码的情况下直接打开Evernote本地数据库。大家可以验证一下。

1. 注册表记录登录ID

Evernote Windows 在登录状态下，会在注册表中留下最后登录的用户名信息，示例如下。

Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Evernote\Evernote]
“LastLogin”=”keeds”

注销当前的 Evernote Windows（菜单：工具→注销）。刷新注册表，可以看到 LastLogin 的值已修改为空。

2. 修改注册表，直接登录

注销 Evernote Windows 后，如果再次手工启动 Evernote，只有输入ID和password才能登录。
现在，hack手段出现了：修改 [1]注册表中 LastLogin 的空值为用户ID 后再启动 Evernote ，会略过登录界面，直接打开对应的本地数据库 [2]。

3. 评论
一方面，是安全隐患。另一方面，可用于断网情况下离线登录Evernote。

注释：
[1]: 不知道如何修改注册表？方法1: 运行regedit。方法2: 修改上面的注册表导出信息，把keeds替换为你的ID，保存为reg文件，双击导入。
[2]: 如果你突发奇想，要试一下能否建立其他用户的数据库，比如xbeta、keeds。你会发现，仍然可以登录，但是系统会提示要输入密码才能与Server同步（界面如图）。

xbeta

《 “Evernote Windows本地数据安全注意事项(2)” 》 有 26 条评论

    • 如果不是使用evernote会多次遇到很不愉快的状况，谁也不会到注册表里去把它揪出来，大家也不是吃饱撑的没事干。我把它的注册表早摸的底朝天了，中国人就吃了英文不好中文却又腐朽的亏，多谢有道词典哈。

  5. 因为怕中木马病毒之类的，我经常重装系统，导出Evernote的所有注册表数据只是为了重装后便于立即恢复设置。对于修改过本地数据默认存放位置的用户来说，导入注册表就不用在重装后手动设定存放位置和同步了，所以这个登陆问题也是误打误撞发现的。

  10. xbeta您好，一阵子没上来了
    累绩了一些文章没有阅读
    最近发现使用
    http://imageshack.us/
    空间的许多图片
    均已失连
    例如
    http://img688.imageshack.us/img688/1338/000la.jpg
    (xbeta注：多谢saphx兄提醒。
    这些图片，有些是源失效，有些是被墙。
    但因为精力有限，也无法一次性全部更新。通常会在更新重要的旧文时，进行更换。
    你示例中的文章，属于过期的新闻，所以，应该不会再花时间更新了。）

  13. 好像一直就是可以直接打开的？我现在就是，一运行就直接打开本地数据库，只有在同步的时候才需要输入密码（没使用记住密码选项）。囧，我还以为是设计如此。正常的应该是一运行程序就提示要用户和密码？那正是我想要的啊~~

    • @k,
      注销 Evernote Windows 后，如果再次手工启动 Evernote，只有输入ID和password才能登录。
      你想要一运行就提示要用户和密码，上次使用完点注销就行了。

  14. 原来这篇说的是在signed out 的情况下通过修改注册表直接打开，我个人觉得这可能不是bug，因为像我这样，从来没有从tool——sign out 而是直接File——Exit 退出程序，那么下次启动是会直接打开本地数据库的。

    P.S. 其实要是有一个“退出Evernote 时sign out”的选项的话就好了。

  18. 借xbeta宝地谈谈刚发生的事儿吧，跟数据安全注意事项也不离题。

    简单的说，刚装的Win 7 64位系统，4.2.2.3913 官网正式版（选了升级到预发布版，但目前没有更新的了），出现了用4代以来从未见过的莫名其妙崩溃多次，不是集中崩溃，而是一天偶见几次崩溃反馈框。

    这也就罢了，刚才系统一切正常的情况下（我一开机就拿process explorer盯着，有问题一眼就能看出来），忽然报崩溃，然后提示数据库损毁。我把数据库放在Dropbox同步目录下。还好删除数据库，重新同步一下，暂时正常了。问题的可能原因是刚拿移动设备拍了几张照片，15M同步到Dropbox去了，不过也说不准。

    我这个id在xbeta这里也好说歹说好几次了，不要依赖EverNote这个软件。我现在只拿它存一些生活琐事，无关紧要的东西，而且保持同步。它就是扶不起的阿斗，谁还愿意对它抱有幻想的，就拿自己的数据开玩笑吧。

    update：官网上的版本居然更新到了4.2.3.2 还没推送。难不成更新到预发布版这个选项废品了？更新完又崩溃一次，数据库完好。无语。

发表回复

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据。