是否可以捕获到远程 Web 服务器的流量

Question

我注意到我的用户名和密码在 HTTP POST 请求中以纯文本形式发送到远程服务器。这是来自 Wireshark 的嗅探包装

POST /***URL*** HTTP/1.1
Host: ***DNS NAME***
Content-Length: 463
site2pstoretoken=***TOKEN***&ssousername=***MY USER NAME***&password=***MY PASSWORD***

本网站不使用 TSL 并暴露于外部 Internet 网络。

Q1：是否可以嗅探到该远程服务器的传入流量（并获取所有密码）？

Q2：我认为这是一个安全漏洞，我错了吗？

Answer 1

A1：中间人攻击绝对是获取此信息的好方法（假设有人可以访问网络中的路由器/交换机）。

A2：是的，非常如此。我会尽快在 HTTPS 上运行。