在我尝试的一个免费网络主机上，用“忘记密码”的方法将密码发送给你时出现了一个逻辑错误——如果你没有输入电子邮件地址(辅助电子邮件是可选的)，它会将主地址的密码通过电子邮件发送给每个没有提供辅助电子邮件的用户。

一天，我和其他数百人收到一封电子邮件，里面有数百个用户名和密码，密码都是明文。

在这里根据记忆来解释，但它很接近……

<form action="secretpage.html" id="authentication"          
      onsubmit="return document.forms.authentication.password.value == 's3cr3t'">
    Enter password: <input type="password" name="password"><br>
    <input type="submit" name="Login" >
</form>

我认识的一个家伙用这个来保护他网站的“私人区域”。起初，他不愿意相信我，甚至他的浏览器都有这个不可靠的“查看源代码”功能。

几年前，一位朋友给了我一把他发现的旧斧头，希望我告诉他这是一件古老的人工制品。所以，我在谷歌上搜索了一些可能有助于识别的网站，得到了一个链接到英国中部某处的博物馆网站。

只不过它把我放到的那个页面给了我整个网站的完全管理员权限。作为一个负责任的人，我更改了账户所有者的名字，这样他们就知道我不是在胡说八道，并给他们发了一封电子邮件，建议他们在更恶毒的人发现之前，把让我进入的漏洞堵上。

不用说，我收到了网站所有者的一封非常感谢的电子邮件，开发人员向他保证，错误已经被发现并修复了。尽管你不得不怀疑一个如此粗心大意的人的能力。

意外地将数据库根密码提交给源代码控制。这很糟糕，因为它是Sourceforge上的源代码控制。

不用说，密码很快就改了。

令人惊讶的是没有人提到社会工程，但我从这篇文章中得到了乐趣。

总结:恶意用户可以买几十个u盘，在里面装上自动运行的病毒或木马，然后在深夜把这些u盘撒在公司的停车场里。第二天，每个人都来上班，被闪闪发光的、糖果形状的、不可抗拒的硬件绊倒，并对自己说:“哦，哇，免费的闪存盘，我想知道里面有什么!”——20分钟后，整个公司的网络都被冲洗掉了。

在我工作的一个网站上，他们使用用户名和密码作为组合主键。用户名自动是您的姓，不需要唯一。

这就只剩下一件独一无二的事情了…