你为访问Google而设置的hosts，可能导致QQ邮箱被盗

这也是一个警醒，如果随便什么 ip 关系都往 hosts 文件里放，影响的可不止你的 Google 账号，可能还有其它重要账号。

有翻墙经历的伙伴，大多知道有个“绑定hosts”的办法。此法无痛无感，访问Google速度“嗖嗖”的快，比VPN好用多了。

只是有个小毛病，hosts文件里的ip关系会失效（比如网站更换ip、被墙），需要定期更新。

怎么更新是个问题。更新了错误的ip关系，可能还是无法访问Google。能访问的也不一定对，有些ip背后不是真正的Google服务器，而是一个第三方反向代理服务器，它帮你连接Google，但你访问Google的所有数据它都知道。

而今天要讲的是更严重的，你在hosts里设置了有问题的Google ip关系，可能导致QQ邮箱登录信息泄露。

这个事得从QQ邮箱开始，有乌云白帽用QQ邮箱写邮件，发现“写信”页面在Chrome浏览器下会加载一张来自Google.com的小图片，而且这个加载方式会带上你邮箱的部分登录信息（sid）。

sid还不足够登录你的邮箱，但如果经过一重复杂加工就可以了。

比如利用反向代理的权限，在Google域名下插一个QQ邮箱的请求，可以获得完整的登录信息。这个登录信息是否能登录你的邮箱，取决于你当时打开Google时，QQ邮箱是否还在登录状态，如果退出了，获取的登录信息也就失效了。

整个过程较为复杂，而且条件很苛刻，所以不太可能太规模利用。但这也是一个警醒，如果随便什么ip关系都往hosts文件里放，影响的可不止你的Google账号，还有QQ邮箱。

头条不支持外链，欲了解更多可在「乌云安全中心」客户端中查看