当攻击者获得目标主机的代码执行权限后，浏览器密码管理器中存储的凭证往往成为横向移动的关键跳板。Microsoft Edge 作为企业环境占有率最高的桌面浏览器之一，其密码管理器的内存安全设计直接影响大量终端的凭证保密性。本文从攻击链路出发，拆解浏览器密码内存明文存储的风险本质，并给出用户级与企业级的工程化防护参数。
问题本质：内存中的明文凭证为何成为通病
现代浏览器密码管理器的核心设计目标是降低用户登录摩擦，这与安全隔离之间存在天然张力。用户输入密码后，浏览器需要将明文提交给页面表单、完成网站认证、并同时更新本地加密存储。在这一链路中，密码不可避免地会以明文形态存在于进程内存中 —— 这是所有主流浏览器的共性特征，而非 Edge 独有缺陷。研究显示，绝大多数桌面密码管理器在典型使用场景下均会在内存中保留明文密码，攻击者借助内存转储工具即可提取这些明文凭证。这一问题的根源在于：解密后的数据必须以可读形式驻留在内存中才能被上层业务逻辑调用，而操作系统并未对用户态进程的私有内存区域提供细粒度访问控制。
从攻击者视角审视，浏览器密码内存明文存储构成了一条高效的情报获取链路。MITRE ATT&CK 框架将针对 Web 浏览器的凭证窃取列为独立技术分支（T1555.003），明确指出攻击者可通过内存 dump 或进程注入方式提取浏览器内保存的明文密码。在实际渗透测试中，获取目标主机 meterpreter 会话后，运行 mimikatz 的 sekurlsa 模块即可枚举并导出浏览器进程内存中的明文密码，整个过程可在数秒内完成。这条攻击链的可行性与浏览器是否启用 “强加密存储” 无关 —— 因为加密只在静态存储阶段生效，一旦用户触发自动填充，解密后的明文就会进入内存供页面脚本和浏览器内核使用。
攻击向量拆解：进程权限与内存访问路径
理解浏览器密码内存明文存储的风险边界，首先需要明确攻击者的能力假设。若攻击者仅能运行低权限的沙盒进程，受限于操作系统进程隔离机制，原则上无法直接读取其他进程（包括浏览器）的私有内存。然而，一旦攻击者通过漏洞利用或凭证窃取获得了管理员或 SYSTEM 权限，操作系统的大部分内存保护机制即告失效。在 Windows 环境下，lsass.exe 进程承载了登录会话与凭证缓存，恶意软件正是通过攻击这一进程来批量获取明文密码 —— 浏览器密码管理器的工作原理与之高度相似，均是在内存中维护解密后的敏感数据供业务调用。
具体到 Edge 浏览器的实现，其密码管理器运行在主浏览器进程的子进程中，通过 IPC 与主进程通信。当用户触发自动填充时，子进程将解密后的明文密码写入共享内存区域，随后由渲染进程读取并填充至页面表单。这一设计虽然在用户体验上实现了无缝衔接，但在安全架构上引入了多个明文数据的临时落脚点：解密后的密钥材料存储在密码管理器子进程的堆内存中，自动填充时复制的副本存在于 IPC 共享缓冲区，页面表单提交前又会在渲染进程的 DOM 内存中短暂停留。攻击者若能 attach 到上述任一进程并执行堆扫描，即可捕获这些明文数据。
多层防护体系：用户级与工程化控制参数
针对浏览器密码内存明文存储的风险，需要构建覆盖用户行为、端点防护与架构设计的多层防御体系。每个层面均对应具体的可量化参数，便于安全团队评估防护有效性并制定响应策略。
用户层防护聚焦于降低密码明文在内存中的停留时间与暴露面。首要措施是禁用浏览器的自动填充功能，强制用户在每次登录时手动输入密码 —— 这一操作将明文内存的存在窗口从 “持续在线” 压缩为 “单次会话”。在 Edge 中可通过设置路径 edge://settings/passwords 关闭「自动填充密码」选项。更进一步的方案是启用 Windows Hello 或 PIN 作为生物特征二次验证，将主密码的内存驻留时间压缩至登录认证完成的瞬间。企业环境可通过组策略统一推送该配置，键值路径为 计算机配置\管理模板\Microsoft Edge\密码管理\启用自动填充。
端点检测与响应层需要针对内存 dump 攻击行为建立监控规则。核心监控对象包括：非系统进程对 lsass.exe 的 OpenProcess 调用、浏览器进程（如 msedge.exe）的内存区域读取尝试、以及任何尝试挂接调试器的行为。建议部署的检测阈值如下：针对 lsass 的 OpenProcess 调用次数超过每分钟 5 次即触发告警；浏览器进程出现异常的大块内存分配（超过 50MB 且包含可打印字符的连续区域）标记为高危；任何进程尝试使用 ReadProcessMemory API 访问浏览器子进程内存时生成事件日志。在 SIEM 侧可使用以下查询语句进行关联分析：event_id=4656 AND object_name="msedge.exe" AND access_mask="0x0010"，筛选出对浏览器进程的调试权限请求。
架构层控制是根本性降低攻击面的手段。对于高安全敏感场景，应考虑将浏览器密码管理器与企业级特权访问管理（PAM）系统解耦。具体的工程实践包括：在企业标准镜像中预置第三方密码管理器并禁用 Edge 内置密码同步功能；通过 AppLocker 或 Windows Defender Application Control（WDAC）策略限制 msedge.exe 对用户配置目录的写权限，阻断密码数据库的本地持久化；部署 Credential Guard 对域凭证提供硬件级隔离，使浏览器密码成为唯一可攻击目标的同时降低整体暴露面。对于开发或高权限岗位终端，建议启用 Windows 的「凭据保护」功能，将用户登录凭据与浏览器进程内存空间隔离。
风险量化评估：企业安全团队可落地的检查清单
安全团队在评估浏览器密码内存明文存储风险时，建议按以下清单逐项核验并将结果量化登记。每一项的通过标准应与业务安全等级对应，高风险场景需达到全部项通过。
第一项为密码自动填充策略审计。通过组策略或终端管理平台检查企业内 Edge 实例的自动填充状态，统计已关闭自动填充的终端比例，目标值应不低于 90%。第二项为端点 EDR 规则覆盖度。确认现有检测规则库中是否包含针对浏览器进程的内存访问监控规则，覆盖 msedge.exe、chrome.exe、firefox.exe 等主流浏览器，测试使用 mimikatz 尝试读取浏览器内存时能否触发告警。第三项为特权访问日志留存。检查安全信息与事件管理（SIEM）系统是否采集了 lsass 和浏览器进程的 OpenProcess 事件日志，建议保留周期不低于 90 天以支持事后溯源。第四项为终端隔离策略。评估关键岗位终端是否实施了应用白名单机制，限制未知进程对浏览器进程的代码注入能力。
防御范式转移：从密码保护到凭证访问控制
浏览器密码内存明文存储并非某个厂商的实现疏漏，而是密码管理器在可用性与安全性之间的权衡结果。试图在浏览器进程内部实现 “内存中完全明文不可见” 在工程上几乎不可行 —— 因为浏览器必须将解密后的密码交给页面表单完成认证，任何加密转换都会破坏这一核心功能。
因此，更务实的防御思路是将安全重心从 “保护密码本身” 转向 “控制对密码的访问”。这意味着：默认假设浏览器内存中的明文密码对拥有调试权限的攻击者可见，转而通过端点检测、进程隔离、最小权限等机制压缩攻击者的可利用窗口。当攻击者需要同时绕过 EDR 监控、突破应用白名单、获取管理员权限才能完成凭证窃取时，攻击成本将显著上升，防御体系的整体有效性也随之改善。
资料来源
- MITRE ATT&CK 框架对 Web 浏览器凭证窃取的技术定义（T1555.003）
- Microsoft Edge 密码管理器安全配置官方文档