我最近看到的最大安全漏洞是iOS 4 (iPhone)的锁屏漏洞，允许任何人立即访问任何iPhone(打电话、地址簿、通话记录、照片)。

http://www.pcworld.com/article/208813/ios_4_lock_screen_security_flaw_grants_access_to_contacts.html

在我工作的一个网站上，他们使用用户名和密码作为组合主键。用户名自动是您的姓，不需要唯一。

这就只剩下一件独一无二的事情了…

我将分享一个我创造的。种。

多年、多年、多年以前，我工作的公司需要在他们的ASP网站上建立索引。所以我去设置索引服务器，排除了一些管理目录，一切都很好。

然而，我不知道有人给了一个销售人员ftp访问网络服务器，这样他就可以在家工作，这是拨号的日子，这是他交换文件的最简单的方式....他开始上传东西，包括详细说明我们服务....标记的文档当人们搜索“成本”时，索引服务器就会索引并开始提供服务。

记住，孩子们，白名单不是黑名单。

我的任务是发现一个用于报告的ODBC DSN，其中密码与用户匹配，并且用户属于数据库服务器管理组。

因此，任何具有此ODBC DSN的PC都可以使用任何ODBC兼容工具通过报表用户读取/更改所有数据(甚至更糟)。不需要授权，而且身份验证非常弱。

我在一家公立医院工作，这个软件几乎安装在该州每家政府医院的每一台电脑上，数据库服务器包含各种敏感的医疗数据(完整的患者详细信息、实验室测试结果等)。

最糟糕的是，我们悄无声息地报告了安全漏洞，然后正式报告，但在我继续在那里工作的2年里，它仍然没有修复，那已经是5年前的事了。

我所见过的最糟糕的漏洞是web应用程序中的一个漏洞，即提供空用户名和密码将以管理员身份登录。

public class AuthenticationServlet extends HttpServlet
{
    private String userName;
    private String password;

    protected doPost(HttpServletRequest req, HttpServletResponse resp)
           throws ServletException, IOException
    {
        userName = request.getParameter("userName");
        password = request.getParameter("password");
        authenticateUser(userName,password);
        ......
    }
}

显然，正如有人在自动化负载测试中发现的那样，单例和缺乏同步会导致安全问题。