严格地说，这不是一个安全漏洞，更多的是一个“功能”，许多新手服务器管理员当时并不知道/关心。

在1999-2001年间，我玩Frontpage玩得很开心，解锁了安装在公共网站上的Frontpage服务器扩展。

当你安装了Frontpage后，你会在ie浏览器中看到这个很好用的“编辑Frontpage”按钮。

当访问一个网站，例如www.foo.com，如果你点击“编辑在Frontpage”按钮在Internet Explorer和服务器管理员没有正确地完成他们的工作，然后Frontpage愉快地打开虚拟目录的完整目录结构，并允许你阅读/编辑内容。

从一个人的乐队到更大的公共组织，这种方法在许多网站上都有效。

当我发现一个开放的服务器时，我总是给“网站管理员”发一封电子邮件，有一次我从一家在线零售商那里得到了一张50英镑的礼券，因为我提醒了他们这一点。

真是令人震惊。

免责声明-我需要指出的是，Frontpage是在标准构建PC上，我是在那些天，不是我自己的选择!

我的一个朋友是通过GET登录的。不用说，他吸取了惨痛的教训。

微软鲍勃 (来源:Dan's 20th Century Abandonware)

如果您第三次输入密码错误，系统将询问您是否忘记密码。

http://img132.yfrog.com/img132/8397/msbob10asignin15.gif

但是，你可以输入任何新密码，它会替换原来的密码，而不是像继续提示输入正确的密码，直到输入正确的密码，或者在多次尝试错误后锁定你!任何人都可以用任何密码“保护”的Microsoft Bob帐户这样做。

不需要事先进行身份验证。 他的意思是，用户1只需要三次输入密码错误，然后第四次输入新密码就可以更改自己的密码，而不必使用“更改密码”。

这也意味着User1可以修改User2, User3…以完全相同的方式。任何用户都可以更改其他用户的密码，只要输入三次错误密码，然后在出现提示时输入新密码，然后他们就可以访问该帐户。

http://img132.yfrog.com/img132/9851/msbob10asignin16.gif

"select * from LoginMaster where UserId='" + txtUserId.Text + "' 

                           and Password='" + txtPassword.Text + "';"

我曾在一个经营直销业务的生产网站上看到过这种情况。上面的Sql语句非常非常容易受到Sql注入的攻击。

我还将在这里列出HACME银行。根据网站Hacme银行是:

Hacme Bank™ is designed to teach application developers, programmers, architects and security professionals how to create secure software. Hacme Bank simulates a "real-world" web services-enabled online banking application, which was built with a number of known and common vulnerabilities. This allows users to attempt real exploits against a web application and thus learn the specifics of the issue and how best to fix it. The web services exposed by Hacme Bank are used by our other testing applications including Hacme Books and Hacme Travel.

最糟糕的安全漏洞是使用ie浏览器的选项来记住你的密码。人们没有意识到的是，像Nirsoft这样的工具可以泄露你所有的密码。

我们有一个旧的计算机集群，在我工作的一个实验室里没有运行。几个本科生认为，让它运行起来会很有趣，这样他们就可以学习一点并行计算了。他们让它运行起来，结果证明它非常有用。

One day I came in and was checking out the stats...It was running at 100%. Now this was a 24 node cluster and there were only 3 of us that ever used it so it was a little strange that it was running at this load. I started playing with it, trying to figure out what was loading it...turned out someone had gained access and was using it as their own little porn server and spammer. I asked the undergrads what kind of security they put on it, they looked at me and said "Security? We didn't think it would need any."

我给它加了个密码，就这样。把它用作色情服务器的人原来是一个本科生的朋友。