访问一个非常有名的在线商店的联系页面，向下滚动，搜索一个电话号码。相反，我发现了一个上传表单，它接受所有的文件类型，实际上把上传的文件放在网站的根文件夹中，这意味着如果一个人上传了一个名为test.php的文件，它将被url mydomain.com/test.php调用:)

由于他们使用osCommerce(开源)，因此编写一个脚本来获取所有数据库连接细节，然后下载他们完整的客户数据表，对于任何有足够智商的人来说，这将是不到五分钟的工作。

我联系了他们，最后得到了我下次购买的折扣券，他们在几分钟内删除了上传表单。

我所见过的最糟糕的是信用卡、个人识别码和姓名以纯文本形式存储。我差点心脏病发作了。

login.jsp?type=user&redirct=/home.jsp&userid=12345&username=username&password=mypassword

这发生在一个非常大的网站上。当我看到这个的时候，我惊呆了。

In the 1970's Stanford had IBM 2741 hardcopy terminals spread around campus networked to an IBM 360/67. Account passwords were three characters. During logon, the password prompt would overprint a three-position blob of about nine random uppercase characters, so the subsequently-typed password would supposedly be masked by the blob. However, everyone typed their passwords in lowercase, which were trivial to discern against the uppercase background blob. That meant you could usually walk up to any terminal, peruse the hardcopy typically left behind by the previous user, and easily logon with their account and password.

想到这一点，我所见过的最糟糕的安全漏洞是当管理电子门锁的人说“你是什么意思，锁不知道公共假日”?

是的，每个周一到周五都是公共假日，因为门系统已经安装好了，我看到前门在08:00-17:30没有锁。

不是最糟糕的，但很好笑的一个是Android操作系统重启的bug。当用户使用G1手机时，他们可以在手机的任何地方输入“重启”(比如:短信或电子邮件)，手机就会重新启动。