大多數Web瀏覽器都帶有內置的密碼管理器，這是一種用于將登錄數據保存到數據庫中并使用數據庫中的信息自動填寫表單和/或登錄站點的基本工具。

需要更多功能的用戶依賴于第三方密碼管理器，例如LastPass，KeePass或Dashlane。這些密碼管理器添加了功能，并且可以作為瀏覽器擴展或桌面程序安裝。

研究由普林斯頓大學的信息技術中心政策建議，新發現的網絡跟蹤器利用密碼管理器來跟蹤用戶。

跟蹤腳本利用了密碼管理器的弱點。研究人員表示，將發生以下情況：

用戶訪問網站，注冊帳戶，然后將數據保存在密碼管理器中。

跟蹤腳本在第三方站點上運行。當用戶訪問該站點時，登錄表單將不可見地注入該站點。

如果在密碼管理器中找到匹配的站點，則瀏覽器的密碼管理器將填寫數據。

該腳本檢測用戶名，對其進行哈希處理，然后將其發送給第三方服務器以跟蹤用戶。

下圖顯示了工作流程。

密碼管理器Web跟蹤器利用

研究人員分析了兩種不同的腳本，這些腳本旨在利用密碼管理器來獲取有關用戶的可識別信息。這兩個腳本AdThink和OnAudience在網頁中注入了不可見的登錄表單，以檢索由瀏覽器的密碼管理器返回的用戶名數據。

該腳本計算哈希并將這些哈希發送到第三方服務器。哈希用于在不使用Cookie或其他形式的用戶跟蹤的情況下跨站點跟蹤用戶。

用戶跟蹤是在線廣告的圣地之一。公司使用這些數據來創建用戶個人資料，這些個人資料可以基于多種因素來記錄用戶的興趣，例如，基于訪問的網站(體育，娛樂，政治，科學)或用戶連接互聯網的位置。

研究人員分析的腳本著重于用戶名。但是，其他腳本也無法阻止提取密碼數據，而惡意腳本過去已經嘗試過這種操作。

研究人員對50,000個網站進行了分析，結果發現在任何網站上都沒有密碼泄露的痕跡。但是，他們確實在前100萬個Alexa網站中的1100個中找到了跟蹤腳本。