在我工作的一个网站上，他们使用用户名和密码作为组合主键。用户名自动是您的姓，不需要唯一。

这就只剩下一件独一无二的事情了…

我个人发现的最糟糕的情况是，在一所大学，所有系统(包括教授办公室)都使用运行X的机器。一台服务器托管了所有这些X会话……

有趣的是，您可以启动一个新的X应用程序(时钟是最受欢迎的，但任何X应用程序都可以工作)，并选择显示它的终端。有了一个快速的脚本，你就可以在校园里每个实验室/办公室的每台电脑上启动它……

当然，真正暴露这个安全漏洞的应用程序是一个虚假的shell登录，其中的输入被记录到一个文件中。

它运行了一周，获得了数百名学生和教授的用户名和密码，并产生了一对非常不高兴的管理员。

瑞典的一家在线dvd租赁店在查询字符串中发送了纯sql语句。

如果你在菜单框中选择了“Comedy”类别，它会将“select * from movies where category=2”作为查询字符串发送给movielist-frame，然后执行sql语句并显示所有符合条件的电影。

在您的订单中添加电影时也是如此。

只要将查询更改为“从电影中删除*”和“从订单中删除*”，该公司就会大获成功。

最大的安全漏洞是web开发人员在设计开放密码字段的注册表单时。密码字段显示您键入的内容，而不是将其清空。这样，当你在公共计算机上注册表单时，就可以看到你在密码字段中输入了什么。许多网站确实有这样的注册表单。

我相信很少有低安全性的网站，用户的密码和登录信息可以很容易地被管理员访问。

In the 1970's Stanford had IBM 2741 hardcopy terminals spread around campus networked to an IBM 360/67. Account passwords were three characters. During logon, the password prompt would overprint a three-position blob of about nine random uppercase characters, so the subsequently-typed password would supposedly be masked by the blob. However, everyone typed their passwords in lowercase, which were trivial to discern against the uppercase background blob. That meant you could usually walk up to any terminal, peruse the hardcopy typically left behind by the previous user, and easily logon with their account and password.

这里可能有一点轶事故事(但因为这是我发现的最糟糕的安全漏洞)…

有一家公司向许多公司/组织(不幸的是包括我们)出售定制CMS(用于网站)。他们使用了相当多的(主要是“LGPL”)他们自己没有制作的组件。很多客户(包括政府)。

正确处理了访问网站不同部分(以及CMS管理系统)的身份验证。 他们在CMS中使用了FCKEditor实例(允许非html保存的用户编辑网页)。 他们还使用FCKEditor的“上传连接器”脚本，允许用户添加文档，图像等。到现场。这个脚本的url是硬编码在一个公开可见的javascript包含中。 他们无法对带有上传脚本的url进行身份验证。

结果:在他们建立的每个网站上，用户都可以(不需要输入任何凭据)修改/删除/更改/上传网站上的每一个文档/文件和/或图像。

我们一发现这个漏洞就立即报告了，所以它可能不会导致直接损害(但很容易)。