我所见过的最严重的安全漏洞是在MS SQL Server的早期版本中，7.0或2000版本，记不清了。

当安装此版本的SQL Server时，安装程序默认会给“sa”帐户一个空密码!!(sa帐户是SQL管理员帐户，它可以在服务器上做任何事情)

这基本上让任何人都可以访问没有防火墙保护的SQL服务器。

但还有更糟的。

当时，安装了许多SQL服务器以在“本地系统”身份验证下运行服务，这使SQL server进程对系统有无限的控制。

既然你可以在SQL server中创建COM对象，你就可以完全访问运行SQL server的计算机了。

很多网站都是这样被黑客攻击的。

几年前，一位朋友给了我一把他发现的旧斧头，希望我告诉他这是一件古老的人工制品。所以，我在谷歌上搜索了一些可能有助于识别的网站，得到了一个链接到英国中部某处的博物馆网站。

只不过它把我放到的那个页面给了我整个网站的完全管理员权限。作为一个负责任的人，我更改了账户所有者的名字，这样他们就知道我不是在胡说八道，并给他们发了一封电子邮件，建议他们在更恶毒的人发现之前，把让我进入的漏洞堵上。

不用说，我收到了网站所有者的一封非常感谢的电子邮件，开发人员向他保证，错误已经被发现并修复了。尽管你不得不怀疑一个如此粗心大意的人的能力。

我见过很多客户项目，这些项目都包含IP地址、用户名和SQL server数据库的密码。

这不是安全漏洞，而是那些把自己的产品标榜为高安全性的公司的安全耻辱(这是他们的主要特征之一)

这是关于“安全登录”的页面为合作伙伴。是这样的:

第一次你通过电子邮件获得明文密码，一旦你登录，你当然不会在第一屏幕上阅读废话，你只是跑去找你要找的东西(文档或软件)，然后注销。

但这里有个技巧，下次你尝试登录时，你的密码不再有效，因为你应该有新密码，他们每次都会在你的个人资料下发布在网站上。所以在交换了几封电子邮件后，他们给我发了大约30个列举的一次密码列表，我每次只能使用一次。(我花了一周时间和几封邮件重新协商这个列表)

所以我打印了这个密码列表，贴在我桌子前的墙上，每次登录时我都用钢笔涂掉一个密码。我可不想有人从我桌前走过看到这份名单。

我想这是我亲眼见过的最糟糕的一次。在很久以前(20世纪80年代末)，我用COBOL编程了一台IBM 370，后来换成了4341。在一个缓慢的日子里，我在查看文档时发现了一个命令，可以让你搜索磁盘上的所有内容。

所以我搜索我的密码。然后找到了。发现附近所有人的密码。

如果我没记错的话，密码限制在6个字符以内，而且不区分大小写。我不记得当时自己的密码了，但我永远不会忘记系统管理员的密码;这完全符合他的性格。休息日。

About 3 years ago I built a site for a somewhat large non-profit organization in our state. When it came time to deploy the application to their web host server, I noticed an odd file named "cc.txt" or something obvious like that in their public site. It was under their web root, was getting served, and was a csv file of all their donor's names, addresses, credit card numbers, expiration dates, and CVV/CVC codes. I cannot count the number of times I brought the issue up - first to my boss, then our company accountant, the client's IT director, finally the client's President. That was 3 years ago. The file is still being served, it can even be googled. And it's been updated. I tend not to respond to their donation solicitations when I get them.