我的第一份工作是在IT安全部门实习。我的任务是自动化对不同用户帐户的网络和应用程序访问，因为每个用户都转移到不同的部门/角色。也就是说，我可以使用一些基本的工具，比如查询分析器，以及一些数据库，但其他的就不多了。该公司通常会把所有东西都锁起来，所以总是有重置和授予的权限。

在这份工作中，所有的兼职人员都被要求使用一个小的VB胖客户端应用程序来跟踪工作时间，在一周结束时，一个按钮可以显示登录的用户一周工作了多少小时，以及他们这一周将获得多少报酬。

出于纯粹的无聊，有一天我偶然发现了小时间跟踪应用程序驻留在网络上的目录，并注意到在该目录中除了EXE之外只有一个其他文件，一个settings.ini文件。

果不其然，打开文件后，连接字符串在明亮的闪光纯文本;用户、密码、数据库名、服务器等等。

在这一点上，我认为这不是真正的信息，但在启动查询分析器，并进入ini设置后，我进入了主生产数据库，其中有任何人都需要给自己加薪的每一块数据。对引导的完全读写权限。

最后，我向老板展示了一份关于谁赚多少钱的问题，他平静地让我把它转发给人力资源总监。

让我告诉你，在我的生活中，我从来没有收到过这么快的，亲自回复任何其他邮件的邮件。

第二天我开始工作，时间跟踪应用程序有一个更新，唉，没有更多的settings.ini文件。

我的银行曾经在我的借记卡上发现了一笔“可疑交易”。他们建议我取消它，买一个新的。

在等待新卡的时候，我需要取钱。于是我走进银行，把我的旧卡给了那位女士，并解释说:“这张卡最近被取消了，但我需要一些钱。你能从这个账户里取点钱吗?”

当我走出银行时，口袋里揣着现金，我意识到我刚刚用一张注销的卡从一个账户里取了钱，而没有被要求出示任何形式的身份证明。

人们把密码贴在公共网站上……

我很惊讶我还没有看到微软wga验证黑客提到。

您可以下载在允许您访问下载之前验证您的窗口副本的控件，或者您可以将以下一行javascript粘贴到地址栏并单击返回。

javascript:void(window.g_sDisableWGACheck='all')

它的目的是让用户验证一次并下载多个项目，但由于它存储在客户端，因此很容易操作!

The worst security hole I've seen was from a (very very bad) hosting company. And even worse it was just some months ago (summer 2010)! You had to first connect to your hosting package control panel (you needed valid credentials). Once logged in all you had to change was the id GET token from the URL and voilà, you're in the control panel of another user! You have access (save/edit/delete) to emails, files, databases. The ids were sequential so you only have to do +1 and you're in the next account. I hope someone have been fired for this!

这是我和他们一起经历过的众多WTF之一!幸运的是，我不是他们的顾客!

我继承了一个客户项目来照看:一个ASP。网项目 (构建于1.1)，其中50%是编译DLL(没有编译DLL) 源代码)和50%的JIT编译后代码。

整个网站应该只对会员开放——除了 原来的开发人员已经建立了一个后门:只需提交 用空白的用户名和密码登录表单，你就会 找到自己作为一个秘密的超级管理员登录:做 什么都看，什么都看。

您猜对了:所有的身份验证代码都被隐藏了 在预编译的DLL中。最糟糕的是当我 被告知“它不在bug列表中，那么客户端呢? 不会付钱，所以离开它”。我照做了，现在还在直播 今天。