你见过的最糟糕的安全漏洞是什么?为了保护罪犯,限制细节可能是个好主意。

不管怎样,这里有一个关于如果你发现了安全漏洞该怎么办的问题,还有一个关于如果公司(似乎)没有回应该怎么办的问题。


当前回答

你知道你一直读到一家大公司如何让他们的客户的个人身份被盗吗?(事实上,据我所知,这种情况在我身上发生过两次——一次是在我的健康保险公司,一次是在我的人寿保险公司)这通常是由于窃取了数据库备份磁带,这些磁带是未加密的,读取了存储在其中的未加密的个人信息。

其他回答

作为对所有读者的提醒,无论是否知情:我刚刚从一个专业那里买了一本800页的2008年版权的关于这个主题的书——在序言中,作者做了一个“嘿,等一下……”,在序言中详细指出,不止一个拥有丰富证书和现场经验的安全专业人士,嗯哼,被赋予了意义,……因为他们看到了一些看起来相对新手的入侵。

如果把它当作看似无害的,那么由于未经授权的活动,就会引发正式诉讼。作为一个专业人士,他们中的一些人被毁了。

我注意到的最后一次入侵涉及一家主要的银行服务,该服务已经存在了很长时间,以至于市民很少听到他们的品牌名称。整个商店的所有数据都是未加密的——但是,对于不知情的人来说,奇怪的是,这家银行实体已经成为了一个“清算所”(我不知道统计数据,但它超过了一半),为不止一个零售品牌的信贷提供商处理信用卡交易。

入侵者只是在空投处放置了一个(装置)。(这是电信公司从世界各地进入的线路)没有花哨或复杂的交通监控工具,只有基本的。我建议每个人都监控今年2月以来的所有信用活动:所获得的是与当前活跃和有效信用账户上的有效名称相匹配的有效cc#。

空前的。

像往常一样,它是一个没有安全专业知识的人从管理权威的位置上运行一个商店。工程术语是“失效模式分析”……

严格地说,这不是一个安全漏洞,更多的是一个“功能”,许多新手服务器管理员当时并不知道/关心。

在1999-2001年间,我玩Frontpage玩得很开心,解锁了安装在公共网站上的Frontpage服务器扩展。

当你安装了Frontpage后,你会在ie浏览器中看到这个很好用的“编辑Frontpage”按钮。

当访问一个网站,例如www.foo.com,如果你点击“编辑在Frontpage”按钮在Internet Explorer和服务器管理员没有正确地完成他们的工作,然后Frontpage愉快地打开虚拟目录的完整目录结构,并允许你阅读/编辑内容。

从一个人的乐队到更大的公共组织,这种方法在许多网站上都有效。

当我发现一个开放的服务器时,我总是给“网站管理员”发一封电子邮件,有一次我从一家在线零售商那里得到了一张50英镑的礼券,因为我提醒了他们这一点。

真是令人震惊。

免责声明-我需要指出的是,Frontpage是在标准构建PC上,我是在那些天,不是我自己的选择!

曾经在一个网站的URL上注意到这一点。

http://www.somewebsite.com/mypage.asp?param1=x&param2=y&admin=0

将最后一个参数更改为admin=1给了我admin权限。如果你要盲目相信用户输入,至少不要让人知道你在这么做!

我的任务是发现一个用于报告的ODBC DSN,其中密码与用户匹配,并且用户属于数据库服务器管理组。

因此,任何具有此ODBC DSN的PC都可以使用任何ODBC兼容工具通过报表用户读取/更改所有数据(甚至更糟)。不需要授权,而且身份验证非常弱。

我在一家公立医院工作,这个软件几乎安装在该州每家政府医院的每一台电脑上,数据库服务器包含各种敏感的医疗数据(完整的患者详细信息、实验室测试结果等)。

最糟糕的是,我们悄无声息地报告了安全漏洞,然后正式报告,但在我继续在那里工作的2年里,它仍然没有修复,那已经是5年前的事了。

我曾在一家销售点公司工作。他们的软件 很多披萨店都用过。

由客户决定是否更改默认密码。 默认信息在用户手册和手册中打印 这样的。:)

几个在披萨店工作的孩子 我猜他们没有更改根密码(Unix/Linux 基于系统)。然后他们去买他和他的 朋友免费送披萨到他家近一个月 在披萨店注意到之前一年。这让我发笑 每次我想到那份工作。:)