在没有加密的数据库中存储信用卡信息(整个信息:号码+有效期+密码)。此外，该数据库被用作一种CRM，因此许多销售人员可以使用不安全的密码访问它。(自从我3年前离开公司后，他们就没换过名字。)

XSS是我喜欢在网站上找到的东西。

下面是我的发现日志的链接:

所有:http://xssed.com/archive/author=Dr.Optix

只有特色菜:http://xssed.com/archive/special=1/author=Dr.Optix/

祝你浏览愉快!

作为一个以应用程序安全顾问为生的人，有很多常见的问题让你通过一些东西来管理网站。但真正酷的是你可以买到价值一百万美元的袜子。

这是我的一个朋友的工作，但它的真实情况是，某个现在非常流行的在线图书(和其他所有东西)商店的商品价格被存储在HTML本身作为一个隐藏字段。在早期，这个漏洞困扰了许多在线商店，他们刚刚开始了解网络。几乎没有安全意识，谁会下载HTML，编辑隐藏字段，然后重新提交订单呢?

当然，我们把价格改为0，并订购了100万双袜子。你也可以改变价格为负，但这样做使他们的后端计费软件缓冲区溢出结束交易的一部分。

如果我可以选择另一个，那就是web应用程序中的路径规范化问题。能够执行foo.com?file=../../../ etc/passwd真是太棒了

中国的过滤软件——绿坝的官方网站将服务器mod_status信息公开供公众娱乐。

好奇的人:

http://www.lssw365.net/server-status

出于某种原因，你可能想在加载后不久按下停止按钮，否则它只是说由于某种原因连接重置…

我所见过的最糟糕的漏洞是web应用程序中的一个漏洞，即提供空用户名和密码将以管理员身份登录。

我希望你能发现这里的问题。(事实上，大错特错):

String emailBody = "";

for (int i = 0; i < subscribers.Count; i++)
{
    emailBody += "Hello " + subscribers[i].FirstName + ",";
    emailBody += "this is a reminder with your account information: \n\n:";
    emailBody += "Your username: " + subscribers[i].Username + "\n";
    emailBody += "Your password: " + subscribers[i].Password + "\n";
    emailBody += "Have a great day!";

    emailDispatcher.Send(subscribers[i].EmailAddress, emailBody);
}

最后一个接受者是最幸福的;)