我曾在一家销售点公司工作。他们的软件 很多披萨店都用过。

由客户决定是否更改默认密码。 默认信息在用户手册和手册中打印 这样的。：）

几个在披萨店工作的孩子 我猜他们没有更改根密码(Unix/Linux 基于系统)。然后他们去买他和他的 朋友免费送披萨到他家近一个月 在披萨店注意到之前一年。这让我发笑 每次我想到那份工作。：）

我以前的学校有学生的密码和他们的用户名一样，加上很容易得到他们的用户名(一个数字，例如123233)，然后你可以点击添加列，找到学生的名字和姓氏，以及他们的用户名。因此，很容易在他们的账户中随机放入垃圾，让他们认为“机器里有鬼”。

不是最坏的，但也足以造成一些真正的损害。你会惊讶于这一点被忽视的频率有多高。特别是当人们使用这些流行的框架时，

yourwebapp.com/items/edit.php?id=4
yourwebapp.com/items/delete.php?id=4

不确定项的所有者是请求页面的人。 也就是说，你可以登录你的账户，然后在整个应用程序中编辑或删除任何人的项目。

一个简单的检查可以防止很多损坏。

$item = // find your item by the $_GET[ 'id' ];

if( $_SESSION[ 'user_id' ] != $item[ 'user_id' ] ){
  // kick em out they dont belong...
}

我想这是我亲眼见过的最糟糕的一次。在很久以前(20世纪80年代末)，我用COBOL编程了一台IBM 370，后来换成了4341。在一个缓慢的日子里，我在查看文档时发现了一个命令，可以让你搜索磁盘上的所有内容。

所以我搜索我的密码。然后找到了。发现附近所有人的密码。

如果我没记错的话，密码限制在6个字符以内，而且不区分大小写。我不记得当时自己的密码了，但我永远不会忘记系统管理员的密码;这完全符合他的性格。休息日。

About 3 years ago I built a site for a somewhat large non-profit organization in our state. When it came time to deploy the application to their web host server, I noticed an odd file named "cc.txt" or something obvious like that in their public site. It was under their web root, was getting served, and was a csv file of all their donor's names, addresses, credit card numbers, expiration dates, and CVV/CVC codes. I cannot count the number of times I brought the issue up - first to my boss, then our company accountant, the client's IT director, finally the client's President. That was 3 years ago. The file is still being served, it can even be googled. And it's been updated. I tend not to respond to their donation solicitations when I get them.

其中一个最简单，但真正值得付出代价的是:

使用PayPal等引擎的支付系统可能存在缺陷，因为在支付成功后，PayPal的响应没有得到应有的检查。

例如:

我可以进入一些CD购买网站，向购物车中添加一些内容，然后在结帐阶段，页面上通常会出现一个表单，其中包含paypal的字段，以及“支付”的提交按钮。

使用DOM编辑器，我可以进入“live”表单，将值从£899.00更改为£0.01，然后单击提交…

当我在PayPal的时候，我可以看到金额是1美分，所以我支付了，PayPal将一些参数重定向到初始购买网站，该网站只验证诸如payment_status=1等参数，而不验证支付的金额。

如果没有足够的日志记录，或者产品是自动分派的，那么成本就会很高。

最糟糕的一类网站是提供应用程序、软件、音乐等的网站。