我继承了一个客户项目来照看:一个ASP。网项目 (构建于1.1)，其中50%是编译DLL(没有编译DLL) 源代码)和50%的JIT编译后代码。

整个网站应该只对会员开放——除了 原来的开发人员已经建立了一个后门:只需提交 用空白的用户名和密码登录表单，你就会 找到自己作为一个秘密的超级管理员登录:做 什么都看，什么都看。

您猜对了:所有的身份验证代码都被隐藏了 在预编译的DLL中。最糟糕的是当我 被告知“它不在bug列表中，那么客户端呢? 不会付钱，所以离开它”。我照做了，现在还在直播 今天。

在一个论坛中，我已经获得了对隐藏线程和管理界面的只读访问权限，只需将cookie中的用户名替换为管理员的用户名，而不更改密码。

我的一个朋友是通过GET登录的。不用说，他吸取了惨痛的教训。

不是最糟糕的，但很好笑的一个是Android操作系统重启的bug。当用户使用G1手机时，他们可以在手机的任何地方输入“重启”(比如:短信或电子邮件)，手机就会重新启动。

我通过更改ServerFault beta访问cookie的域进入http://dev.superuser.com/。(他们现在已经修好了)

我最后工作的公司的FTP用户名和密码与他们的域名相同。他们不太在意反复警告。

不用说，网站没过多久就倒闭了。没有在线备份，所以他们不得不重建整个系统。但这并没有结束。这次事件后的新安全密码是一样的…加上123。