我想说，最糟糕的安全漏洞是不了解/理解您的环境和第三方工具，如果您将它们包含在您的程序中。

一个真实的例子:

在我上的两所不同的学校，他们使用的是基于Windows的第三方软件管理的网络。一个这样的工具监控磁盘空间，如果你超过，它会提醒你，要求你删除文件或将它们复制到软盘。

但是…他们有一个帮助，使用标准的Windows帮助查看器!!

要绕过注销检查，您只需要按下电源按钮-关闭而不是注销只是关闭应用程序!

至于登录，你所需要做的就是打开帮助，点击文件>打开，在文件名称中，然后，有许多不同的事情……

你可以输入C:\Windows，一旦加载，输入*。*，然后你可以右键单击Explorer.exe，然后选择打开，然后将盒子拖出/底部角落…当你关闭电脑时，没有问题!

您可以打开任务管理器并关闭应用程序。

你可以打开一个excel文档(或任何Office程序)，启动一个宏，然后做你想做的事情!

所以…我想说，这家公司很愚蠢，因为他们在其他程序中也有各种各样的问题，但是，这是最大的问题，他们能够绕过它，只是因为他们使用了Windows帮助，而没有意识到它的含义。

默认登录凭据，特别是当是admin/root和密码时。

严格地说，这不是一个安全漏洞，更多的是一个“功能”，许多新手服务器管理员当时并不知道/关心。

在1999-2001年间，我玩Frontpage玩得很开心，解锁了安装在公共网站上的Frontpage服务器扩展。

当你安装了Frontpage后，你会在ie浏览器中看到这个很好用的“编辑Frontpage”按钮。

当访问一个网站，例如www.foo.com，如果你点击“编辑在Frontpage”按钮在Internet Explorer和服务器管理员没有正确地完成他们的工作，然后Frontpage愉快地打开虚拟目录的完整目录结构，并允许你阅读/编辑内容。

从一个人的乐队到更大的公共组织，这种方法在许多网站上都有效。

当我发现一个开放的服务器时，我总是给“网站管理员”发一封电子邮件，有一次我从一家在线零售商那里得到了一张50英镑的礼券，因为我提醒了他们这一点。

真是令人震惊。

免责声明-我需要指出的是，Frontpage是在标准构建PC上，我是在那些天，不是我自己的选择!

About 3 years ago I built a site for a somewhat large non-profit organization in our state. When it came time to deploy the application to their web host server, I noticed an odd file named "cc.txt" or something obvious like that in their public site. It was under their web root, was getting served, and was a csv file of all their donor's names, addresses, credit card numbers, expiration dates, and CVV/CVC codes. I cannot count the number of times I brought the issue up - first to my boss, then our company accountant, the client's IT director, finally the client's President. That was 3 years ago. The file is still being served, it can even be googled. And it's been updated. I tend not to respond to their donation solicitations when I get them.

意外地将数据库根密码提交给源代码控制。这很糟糕，因为它是Sourceforge上的源代码控制。

不用说，密码很快就改了。

在没有加密的数据库中存储信用卡信息(整个信息:号码+有效期+密码)。此外，该数据库被用作一种CRM，因此许多销售人员可以使用不安全的密码访问它。(自从我3年前离开公司后，他们就没换过名字。)