你见过的最糟糕的安全漏洞是什么?为了保护罪犯,限制细节可能是个好主意。
不管怎样,这里有一个关于如果你发现了安全漏洞该怎么办的问题,还有一个关于如果公司(似乎)没有回应该怎么办的问题。
你见过的最糟糕的安全漏洞是什么?为了保护罪犯,限制细节可能是个好主意。
不管怎样,这里有一个关于如果你发现了安全漏洞该怎么办的问题,还有一个关于如果公司(似乎)没有回应该怎么办的问题。
当前回答
作为对所有读者的提醒,无论是否知情:我刚刚从一个专业那里买了一本800页的2008年版权的关于这个主题的书——在序言中,作者做了一个“嘿,等一下……”,在序言中详细指出,不止一个拥有丰富证书和现场经验的安全专业人士,嗯哼,被赋予了意义,……因为他们看到了一些看起来相对新手的入侵。
如果把它当作看似无害的,那么由于未经授权的活动,就会引发正式诉讼。作为一个专业人士,他们中的一些人被毁了。
我注意到的最后一次入侵涉及一家主要的银行服务,该服务已经存在了很长时间,以至于市民很少听到他们的品牌名称。整个商店的所有数据都是未加密的——但是,对于不知情的人来说,奇怪的是,这家银行实体已经成为了一个“清算所”(我不知道统计数据,但它超过了一半),为不止一个零售品牌的信贷提供商处理信用卡交易。
入侵者只是在空投处放置了一个(装置)。(这是电信公司从世界各地进入的线路)没有花哨或复杂的交通监控工具,只有基本的。我建议每个人都监控今年2月以来的所有信用活动:所获得的是与当前活跃和有效信用账户上的有效名称相匹配的有效cc#。
空前的。
像往常一样,它是一个没有安全专业知识的人从管理权威的位置上运行一个商店。工程术语是“失效模式分析”……
其他回答
我的一家公用事业公司在他们的信用卡表单中没有使用自动完成="off"。
当然,他们不会存储你的信用卡信息(一件好事),但想象一下当我支付第二个月的账单时,我有多害怕,我的浏览器竟然为我填写整个信用卡号码……
有一次我在一家公司工作,我不得不和别人分享 通过加密的信息。他们给我提供了一个GPG 密钥对-它们的公钥和私钥而不是 只是共享公钥和高度 保密。
我不得不向他们解释这个过程是错误的 意识到他们这样做已经很长时间了。
作为一个以应用程序安全顾问为生的人,有很多常见的问题让你通过一些东西来管理网站。但真正酷的是你可以买到价值一百万美元的袜子。
这是我的一个朋友的工作,但它的真实情况是,某个现在非常流行的在线图书(和其他所有东西)商店的商品价格被存储在HTML本身作为一个隐藏字段。在早期,这个漏洞困扰了许多在线商店,他们刚刚开始了解网络。几乎没有安全意识,谁会下载HTML,编辑隐藏字段,然后重新提交订单呢?
当然,我们把价格改为0,并订购了100万双袜子。你也可以改变价格为负,但这样做使他们的后端计费软件缓冲区溢出结束交易的一部分。
如果我可以选择另一个,那就是web应用程序中的路径规范化问题。能够执行foo.com?file=../../../ etc/passwd真是太棒了
我所见过的最糟糕的安全漏洞是,人们在firefox账户上不使用主密码,即使他们让它保存了所有的密码。这意味着任何能拿到你账户文件的人都能窃取你所有的密码。使用主密码。
在我以前的学校,他们把用户密码以明文形式存储在cookie中。
这本身就很可怕,但更糟糕的是,他们把它们储存在饼干里供*.大学。当然,现在所有学生和员工的页面都在university.edu.au/~user这样的网站上。
<?php
var_dump($_COOKIE); // oops.