将用户名列表以明文形式发送给浏览器以供JavaScript自动补全，还可以通过使用唯一的用户id调整URL查询字符串来查看用户数据，这可以从自动补全功能中收集到。

默认登录凭据，特别是当是admin/root和密码时。

当关键IT员工离开公司时，不更改管理密码。

我在The Daily WTF上看到过这个。

<script language="javascript">
<!--//
/*This Script allows people to enter by using a form that asks for a
UserID and Password*/
function pasuser(form) {
    if (form.id.value=="buyers") { 
        if (form.pass.value=="gov1996") {              
            location="http://officers.federalsuppliers.com/agents.html" 
        } else {
            alert("Invalid Password")
        }
    } else {  
        alert("Invalid UserID")
    }
}
//-->
</script>

恕我直言，没有什么比这更好的了。

这里有一个我不常看到的例子。这是一个非常有效的安全漏洞，困扰着大多数登录表单。我大约在十年前发现了它。

我在多伦多大学学习，那里有一个叫做ROSI的系统，允许学生管理他们的费用和课程注册。他们还在总会议区设置了两个公共终端，只能显示ROSI网站，学生可以输入他们的学生证和密码登录和管理他们的物品。

但是，在用户注销后，您可以在终端上按浏览器的alt-left键返回登录表单，然后按alt-right键前进一键，然后单击刷新。在这一点上，浏览器会要求你确认重新发布表单数据，如果你点击是，它会重新发布以前的用户登录/通过和登录你。

大多数登录表单仍然容易受到这类攻击。解决方案是post/redirect/get或使用nonce键。

我给我的大学管理员发了很多次邮件，但我认为他们至少在我毕业离开之前都没有解决这个问题。这大约是在2002年。

我们工作时的手机。

你必须用你的4位ID登录，然后按#，然后输入你的4位密码和#。但如果你不输入任何密码并按#，它就会让你登录。

Failphone失败。