我见过缓冲区溢出，可以(理论上)通过传真输出。

有一个自动的文件路由过程，它将传真作为输入，对它们进行OCR并提取一些信息，然后在此基础上进行LDAP搜索，等等。 不知道这是不是“最糟糕的”，但肯定让我笑了。

按下Windows 98登录屏幕上的取消按钮，你就可以进入系统了。

曾经在一个网站的URL上注意到这一点。

http://www.somewebsite.com/mypage.asp?param1=x&param2=y&admin=0

将最后一个参数更改为admin=1给了我admin权限。如果你要盲目相信用户输入，至少不要让人知道你在这么做!

最不可原谅的安全漏洞，不幸的是，一个非常常见和容易找到的漏洞，是谷歌黑客。举个例子:

http://www.google.com/search?q=inurl%3Aselect+inurl%3A%2520+inurl%3Afrom+inurl%3Awhere

令人惊讶的是，互联网上有多少页面，特别是政府网站，通过查询字符串传递SQL查询。这是最糟糕的SQL注入形式，查找易受攻击的站点毫不费力。

经过一些小的调整，我已经能够找到未受保护的phpMyAdmin安装，未受保护的MySQL安装，查询包含用户名和密码的字符串，等等。

当我使用Colloquy (IRC)时，密码字段会弹出，但我仍然在主屏幕上集中，所以当我按下enter键时，全世界都知道我的密码，而我却没有意识到。

几年前，一位朋友给了我一把他发现的旧斧头，希望我告诉他这是一件古老的人工制品。所以，我在谷歌上搜索了一些可能有助于识别的网站，得到了一个链接到英国中部某处的博物馆网站。

只不过它把我放到的那个页面给了我整个网站的完全管理员权限。作为一个负责任的人，我更改了账户所有者的名字，这样他们就知道我不是在胡说八道，并给他们发了一封电子邮件，建议他们在更恶毒的人发现之前，把让我进入的漏洞堵上。

不用说，我收到了网站所有者的一封非常感谢的电子邮件，开发人员向他保证，错误已经被发现并修复了。尽管你不得不怀疑一个如此粗心大意的人的能力。