太可怕了，我告诉我所有的朋友取消账户!

我在一家很受欢迎的赌场网站工作。flash前端不仅仅是一个不起眼的终端。他们有一个视觉错误，不正确地管理头像图像。在我和我的朋友解决这个问题的时候，我们发现了一个完全不同的缺陷。

我们观察了从客户端到服务器的流量，发现它是base64编码的。 考虑到它会有所帮助，构建了一个简单的python终端脚本，可以利用它。我们发现客户端会向服务器发送命令和逻辑信息。

几分钟之内，我就能简单地输入我有多少筹码，谁赢了，我有什么手牌，简单地用纯文本写出来!

另一个主要缺陷-用户密码被加密，管理员密码没有使用与以前相同的漏洞，我获得了数据库信息，找到管理员登录并接管了系统。

在我尝试的一个免费网络主机上，用“忘记密码”的方法将密码发送给你时出现了一个逻辑错误——如果你没有输入电子邮件地址(辅助电子邮件是可选的)，它会将主地址的密码通过电子邮件发送给每个没有提供辅助电子邮件的用户。

一天，我和其他数百人收到一封电子邮件，里面有数百个用户名和密码，密码都是明文。

在PHP中，这是在第一个包含文件:

extract($_GET);
extract($_POST);

它允许覆盖未被_GET或_POST调用的变量。

我的一个朋友曾经知道一个站点将SQL查询作为GET参数传递。你知道有些人会拿这个开玩笑。

我所见过的最糟糕的安全漏洞实际上是由你们公司编写的，导致谷歌机器人删除了我的整个数据库。

当我第一次学习经典ASP时，我编写了自己的基本博客应用程序。包含所有管理脚本的目录在IIS上受到NTLM的保护。有一天，我移动到一个新的服务器，忘记重新保护IIS中的目录(哎呀)。

博客主页有一个指向主管理界面的链接，主管理界面为每条记录都有一个DELETE link(没有确认)。

有一天，我发现数据库中的每一条记录都被删除了(数百条个人记录)。我以为是某个读者闯入了网站，恶意删除了所有的记录。

我从日志中发现:谷歌机器人爬了站点，跟踪管理链接，然后继续跟踪所有的DELETE链接，从而删除数据库中的每一条记录。我觉得我当之无愧的年度傻瓜奖被谷歌机器人无意中损害了。

谢天谢地，我有备份。

最糟糕的安全漏洞是使用ie浏览器的选项来记住你的密码。人们没有意识到的是，像Nirsoft这样的工具可以泄露你所有的密码。

http://www.metasploit.com/users/hdm/tools/debian-openssl/