我听说，当你以电子方式提交申报表时，Turbo Tax曾经以纯文本文件发送你的SSN。这似乎不是个好主意。

我还知道一家公司将信用卡信息存储在桌面上的纯文本CSV文件中。然后通过FTP发送到支付网关....

不过这还不是我见过的最严重的安全漏洞。但这至少是我自己发现的最糟糕的情况:

一个非常成功的在线有声读物商店在成功认证后使用cookie存储当前用户的身份信息。但你可以很容易地在cookie中更改用户ID，并访问其他账户并在这些账户上购物。

About 3 years ago I built a site for a somewhat large non-profit organization in our state. When it came time to deploy the application to their web host server, I noticed an odd file named "cc.txt" or something obvious like that in their public site. It was under their web root, was getting served, and was a csv file of all their donor's names, addresses, credit card numbers, expiration dates, and CVV/CVC codes. I cannot count the number of times I brought the issue up - first to my boss, then our company accountant, the client's IT director, finally the client's President. That was 3 years ago. The file is still being served, it can even be googled. And it's been updated. I tend not to respond to their donation solicitations when I get them.

这里有一个我不常看到的例子。这是一个非常有效的安全漏洞，困扰着大多数登录表单。我大约在十年前发现了它。

我在多伦多大学学习，那里有一个叫做ROSI的系统，允许学生管理他们的费用和课程注册。他们还在总会议区设置了两个公共终端，只能显示ROSI网站，学生可以输入他们的学生证和密码登录和管理他们的物品。

但是，在用户注销后，您可以在终端上按浏览器的alt-left键返回登录表单，然后按alt-right键前进一键，然后单击刷新。在这一点上，浏览器会要求你确认重新发布表单数据，如果你点击是，它会重新发布以前的用户登录/通过和登录你。

大多数登录表单仍然容易受到这类攻击。解决方案是post/redirect/get或使用nonce键。

我给我的大学管理员发了很多次邮件，但我认为他们至少在我毕业离开之前都没有解决这个问题。这大约是在2002年。

在没有加密的数据库中存储信用卡信息(整个信息:号码+有效期+密码)。此外，该数据库被用作一种CRM，因此许多销售人员可以使用不安全的密码访问它。(自从我3年前离开公司后，他们就没换过名字。)

新闻标题是在这条线索的精神…在今天的头版/。 ISP将客户数据库电子邮件发送给数千人