我被告知，我们总机部门的哔哔系统有一个可以用来发送消息的web前端，尽管它很丑，而且不太友好，所以我想看看我们是否可以在我们的内部网主站上使用一个表单，并通过我们的服务器将值提交给他们。

使用User和Admin角色访问系统有一个简单的用户名/密码表单，因此我查看了一下如何实现处理安全性。我发现存储了以下两个cookie:

Username: [username I had used]
Admin: False

为了确保它像我想象的那样糟糕，我打开Firefox，给它url，创建2个cookie，我的用户名和管理员:真，瞧，我有管理员权限。为了验证它，我创建了一个新用户，没有任何问题。更糟糕的是，在本地使用用户名意味着日志将显示我的操作来自任何我想要给它的人。

通过不公开来实现安全是行不通的，但当你把人们需要的一切都放在银盘上时，它就不那么管用了。

简单地说

exec unchecked_parameter_from_the_web

在Python中解析用户给出的字典字面量。那真的很可怕。

当我使用Colloquy (IRC)时，密码字段会弹出，但我仍然在主屏幕上集中，所以当我按下enter键时，全世界都知道我的密码，而我却没有意识到。

我个人发现的最糟糕的情况是，在一所大学，所有系统(包括教授办公室)都使用运行X的机器。一台服务器托管了所有这些X会话……

有趣的是，您可以启动一个新的X应用程序(时钟是最受欢迎的，但任何X应用程序都可以工作)，并选择显示它的终端。有了一个快速的脚本，你就可以在校园里每个实验室/办公室的每台电脑上启动它……

当然，真正暴露这个安全漏洞的应用程序是一个虚假的shell登录，其中的输入被记录到一个文件中。

它运行了一周，获得了数百名学生和教授的用户名和密码，并产生了一对非常不高兴的管理员。

有一次我有……创造性的差异……在我帮助建立的一个社区网站上，另一个编码器添加了一个新的PHP文件，该文件列出了审批队列中的文件，该文件还具有删除每个文件的链接。

不幸的是，这个脚本使用了整个通过模糊实现安全的概念。

不知何故，一个网络爬虫发现了这个页面，并跟踪了所有的删除链接。

不用说，修改元数据或删除文件的脚本现在需要登录。

附注:我与此无关，甚至不知道这个脚本的存在，直到当时的一位工作人员告诉我发生了什么。实际上，我现在又在为这个网站工作了，部分原因是为了确保这样的事情不会再发生。

几年前，一位朋友给了我一把他发现的旧斧头，希望我告诉他这是一件古老的人工制品。所以，我在谷歌上搜索了一些可能有助于识别的网站，得到了一个链接到英国中部某处的博物馆网站。

只不过它把我放到的那个页面给了我整个网站的完全管理员权限。作为一个负责任的人，我更改了账户所有者的名字，这样他们就知道我不是在胡说八道，并给他们发了一封电子邮件，建议他们在更恶毒的人发现之前，把让我进入的漏洞堵上。

不用说，我收到了网站所有者的一封非常感谢的电子邮件，开发人员向他保证，错误已经被发现并修复了。尽管你不得不怀疑一个如此粗心大意的人的能力。