网友 keeds 发现 Evernote Windows 存在一个令他“非常无语的安全问题”：通过改写注册表，就能在不登录不输密码的情况下直接打开Evernote本地数据库。大家可以验证一下。
1. 注册表记录登录ID
Evernote Windows 在登录状态下，会在注册表中留下最后登录的用户名信息，示例如下。
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Evernote\Evernote]
“LastLogin”=”keeds”
注销当前的 Evernote Windows（菜单：工具→注销）。刷新注册表，可以看到 LastLogin 的值已修改为空。
2. 修改注册表，直接登录
注销 Evernote Windows 后，如果再次手工启动 Evernote，只有输入ID和password才能登录。
现在，hack手段出现了：修改 [1]注册表中 LastLogin 的空值为用户ID 后再启动 Evernote ，会略过登录界面，直接打开对应的本地数据库 [2]。
3. 评论
一方面，是安全隐患。另一方面，可用于断网情况下离线登录Evernote。
注释：
[1]: 不知道如何修改注册表？方法1: 运行regedit。方法2: 修改上面的注册表导出信息，把keeds替换为你的ID，保存为reg文件，双击导入。
[2]: 如果你突发奇想，要试一下能否建立其他用户的数据库，比如xbeta、keeds。你会发现，仍然可以登录，但是系统会提示要输入密码才能与Server同步（界面如图）。
发表回复
要发表评论，您必须先登录。