我所见过的最糟糕的安全漏洞实际上是由你们公司编写的，导致谷歌机器人删除了我的整个数据库。

当我第一次学习经典ASP时，我编写了自己的基本博客应用程序。包含所有管理脚本的目录在IIS上受到NTLM的保护。有一天，我移动到一个新的服务器，忘记重新保护IIS中的目录(哎呀)。

博客主页有一个指向主管理界面的链接，主管理界面为每条记录都有一个DELETE link(没有确认)。

有一天，我发现数据库中的每一条记录都被删除了(数百条个人记录)。我以为是某个读者闯入了网站，恶意删除了所有的记录。

我从日志中发现:谷歌机器人爬了站点，跟踪管理链接，然后继续跟踪所有的DELETE链接，从而删除数据库中的每一条记录。我觉得我当之无愧的年度傻瓜奖被谷歌机器人无意中损害了。

谢天谢地，我有备份。

将用户名列表以明文形式发送给浏览器以供JavaScript自动补全，还可以通过使用唯一的用户id调整URL查询字符串来查看用户数据，这可以从自动补全功能中收集到。

作为对所有读者的提醒，无论是否知情:我刚刚从一个专业那里买了一本800页的2008年版权的关于这个主题的书——在序言中，作者做了一个“嘿，等一下……”，在序言中详细指出，不止一个拥有丰富证书和现场经验的安全专业人士，嗯哼，被赋予了意义，……因为他们看到了一些看起来相对新手的入侵。

如果把它当作看似无害的，那么由于未经授权的活动，就会引发正式诉讼。作为一个专业人士，他们中的一些人被毁了。

我注意到的最后一次入侵涉及一家主要的银行服务，该服务已经存在了很长时间，以至于市民很少听到他们的品牌名称。整个商店的所有数据都是未加密的——但是，对于不知情的人来说，奇怪的是，这家银行实体已经成为了一个“清算所”(我不知道统计数据，但它超过了一半)，为不止一个零售品牌的信贷提供商处理信用卡交易。

入侵者只是在空投处放置了一个(装置)。(这是电信公司从世界各地进入的线路)没有花哨或复杂的交通监控工具，只有基本的。我建议每个人都监控今年2月以来的所有信用活动:所获得的是与当前活跃和有效信用账户上的有效名称相匹配的有效cc#。

空前的。

像往常一样，它是一个没有安全专业知识的人从管理权威的位置上运行一个商店。工程术语是“失效模式分析”……

意外地将数据库根密码提交给源代码控制。这很糟糕，因为它是Sourceforge上的源代码控制。

不用说，密码很快就改了。

我在浏览一个购物网站，当我输入我的电子邮件地址时，我注意到地址输入页面的URL只有“?nOrderID=301”。

下车。我把数字改成99，你猜怎么着?我得到了一位住在本德的女士的名字，地址和电话号码。

几周前我确实给网站管理员发过邮件，他听起来不太高兴，但这个问题仍然没有解决……

有一段时间，该公司的整个员工信息列表(从地址到社会安全号到工资的所有信息)都存储在密码保护的Access数据库中。

使用您最喜欢的搜索引擎，查找如何恢复访问数据库的密码。是的。

拖拽到这里，你就会得到密码。字典中五个字母组成的单词。

我曾经在一个名为ROL的本地互联网门户网站上发现了一个漏洞。RO(罗马尼亚在线-当时由PCNET拥有)。他们有一个免费的网络邮件系统。我想要一个特定的用户名(很容易猜到是哪个)，但它已经被占用了。

出于好奇，我进入了“忘记密码”页面，输入了我想要的(但已被占用的)用户名。然后，在提交时，我看到了一个空白的安全问题。

哇……让我们看看他们是不是很差劲。我确保答案文本框为空，然后提交

“恭喜你，输入你的新密码”。

我输入了密码，劫持了账户。

可能发生在他们的…PHP脚本是他们比较从数据库(在答案-当然他们保持在明文)的空字符串提交我。让它们“相等”引导我进入下一步，重置密码。

是的,站不住脚的。