在一所不知名的大学，他们所有的动作查询都是通过URL传递的，而不是通过表单发布的。

这个东西一直在工作，直到谷歌Bot出现，运行了他们所有的url并删除了他们的数据库。

我们工作时的手机。

你必须用你的4位ID登录，然后按#，然后输入你的4位密码和#。但如果你不输入任何密码并按#，它就会让你登录。

Failphone失败。

我曾经接手了一个系统的开发，这个系统在全国有200个客户在使用，它有硬编码的密码。是的，代码实际上写着:

if password = "a"

去年，我离开了一家汽车ERP公司，该公司数百个客户的服务器上都有相同的管理密码。我猜我走后他们没有全部换掉。

login.jsp?type=user&redirct=/home.jsp&userid=12345&username=username&password=mypassword

这发生在一个非常大的网站上。当我看到这个的时候，我惊呆了。

我见过缓冲区溢出，可以(理论上)通过传真输出。

有一个自动的文件路由过程，它将传真作为输入，对它们进行OCR并提取一些信息，然后在此基础上进行LDAP搜索，等等。 不知道这是不是“最糟糕的”，但肯定让我笑了。

有许多网站使用代理文件来传送图像或其他文件。没有检查路径的有效性。

So.

getfile.php ?文件 =../../../../ 等/ passwd

or

Getfile.php ?file=../index.php(包含所有密码的纯文本)

令人惊讶的是，还有很多网站仍然存在这个缺陷。getfile.php只需要谷歌，你就可以轻松地打开盒子了。