作为一个以应用程序安全顾问为生的人，有很多常见的问题让你通过一些东西来管理网站。但真正酷的是你可以买到价值一百万美元的袜子。

这是我的一个朋友的工作，但它的真实情况是，某个现在非常流行的在线图书(和其他所有东西)商店的商品价格被存储在HTML本身作为一个隐藏字段。在早期，这个漏洞困扰了许多在线商店，他们刚刚开始了解网络。几乎没有安全意识，谁会下载HTML，编辑隐藏字段，然后重新提交订单呢?

当然，我们把价格改为0，并订购了100万双袜子。你也可以改变价格为负，但这样做使他们的后端计费软件缓冲区溢出结束交易的一部分。

如果我可以选择另一个，那就是web应用程序中的路径规范化问题。能够执行foo.com?file=../../../ etc/passwd真是太棒了

我曾在一家销售点公司工作。他们的软件 很多披萨店都用过。

由客户决定是否更改默认密码。 默认信息在用户手册和手册中打印 这样的。：）

几个在披萨店工作的孩子 我猜他们没有更改根密码(Unix/Linux 基于系统)。然后他们去买他和他的 朋友免费送披萨到他家近一个月 在披萨店注意到之前一年。这让我发笑 每次我想到那份工作。：）

UNIX文本登录屏幕是如此容易复制…：）

最近，我被要求对一家公司的网站进行代码审查，希望我的雇主把这个网站作为一个维护项目。

我没花多长时间就发现了网站根目录下的纯文本文件，其中包含大约6000个客户的信用卡详细信息，包括账单名称、地址和CVV代码。它的名字甚至都没有想象力!

这是该网站最糟糕的问题，但它也充满了SQL注入问题。

我们礼貌地指出了这些问题，网站所有者将其退回到原始开发人员那里寻求解释。

当我使用Colloquy (IRC)时，密码字段会弹出，但我仍然在主屏幕上集中，所以当我按下enter键时，全世界都知道我的密码，而我却没有意识到。

我通过更改ServerFault beta访问cookie的域进入http://dev.superuser.com/。(他们现在已经修好了)