将用户名列表以明文形式发送给浏览器以供JavaScript自动补全，还可以通过使用唯一的用户id调整URL查询字符串来查看用户数据，这可以从自动补全功能中收集到。

有一家银行通过其网站提供一些服务。开发人员考虑了任何作为整个系统的有效用户登录的人，他们使用URL来识别账号，因此只需更改URL上的ID，就可以查看其他账户的余额。

对于认为身份验证和授权是一回事的web开发人员来说，这是非常糟糕的。

此外，银行不通过其网站转账也很好，否则有些人会很富有;-)

高中时，实验室正在运行windows的早期版本。政府在一项安全计划上花费了大量资金。

负责实验室的先生来找我，让我绕过系统看看它是否安全。“没关系，你不会有麻烦的。”

我重新启动，按f8，当它问我是否要加载安全程序时，按N，然后Y到其他所有东西上。

你知道你一直读到一家大公司如何让他们的客户的个人身份被盗吗?(事实上，据我所知，这种情况在我身上发生过两次——一次是在我的健康保险公司，一次是在我的人寿保险公司)这通常是由于窃取了数据库备份磁带，这些磁带是未加密的，读取了存储在其中的未加密的个人信息。

太可怕了，我告诉我所有的朋友取消账户!

我在一家很受欢迎的赌场网站工作。flash前端不仅仅是一个不起眼的终端。他们有一个视觉错误，不正确地管理头像图像。在我和我的朋友解决这个问题的时候，我们发现了一个完全不同的缺陷。

我们观察了从客户端到服务器的流量，发现它是base64编码的。 考虑到它会有所帮助，构建了一个简单的python终端脚本，可以利用它。我们发现客户端会向服务器发送命令和逻辑信息。

几分钟之内，我就能简单地输入我有多少筹码，谁赢了，我有什么手牌，简单地用纯文本写出来!

另一个主要缺陷-用户密码被加密，管理员密码没有使用与以前相同的漏洞，我获得了数据库信息，找到管理员登录并接管了系统。

我的银行曾经在我的借记卡上发现了一笔“可疑交易”。他们建议我取消它，买一个新的。

在等待新卡的时候，我需要取钱。于是我走进银行，把我的旧卡给了那位女士，并解释说:“这张卡最近被取消了，但我需要一些钱。你能从这个账户里取点钱吗?”

当我走出银行时，口袋里揣着现金，我意识到我刚刚用一张注销的卡从一个账户里取了钱，而没有被要求出示任何形式的身份证明。