瑞典的一家在线dvd租赁店在查询字符串中发送了纯sql语句。

如果你在菜单框中选择了“Comedy”类别，它会将“select * from movies where category=2”作为查询字符串发送给movielist-frame，然后执行sql语句并显示所有符合条件的电影。

在您的订单中添加电影时也是如此。

只要将查询更改为“从电影中删除*”和“从订单中删除*”，该公司就会大获成功。

当我使用Colloquy (IRC)时，密码字段会弹出，但我仍然在主屏幕上集中，所以当我按下enter键时，全世界都知道我的密码，而我却没有意识到。

我所见过的最糟糕的安全漏洞是，人们在firefox账户上不使用主密码，即使他们让它保存了所有的密码。这意味着任何能拿到你账户文件的人都能窃取你所有的密码。使用主密码。

在我以前工作的店里有个不错的。通往非公共区域的门有小键盘，所以你必须输入pin码才能进入。然而，你只需按#，门就会打开，这是我们喜欢的事实，因为按#比按6位pin码容易得多。

严格地说，这不是一个安全漏洞，更多的是一个“功能”，许多新手服务器管理员当时并不知道/关心。

在1999-2001年间，我玩Frontpage玩得很开心，解锁了安装在公共网站上的Frontpage服务器扩展。

当你安装了Frontpage后，你会在ie浏览器中看到这个很好用的“编辑Frontpage”按钮。

当访问一个网站，例如www.foo.com，如果你点击“编辑在Frontpage”按钮在Internet Explorer和服务器管理员没有正确地完成他们的工作，然后Frontpage愉快地打开虚拟目录的完整目录结构，并允许你阅读/编辑内容。

从一个人的乐队到更大的公共组织，这种方法在许多网站上都有效。

当我发现一个开放的服务器时，我总是给“网站管理员”发一封电子邮件，有一次我从一家在线零售商那里得到了一张50英镑的礼券，因为我提醒了他们这一点。

真是令人震惊。

免责声明-我需要指出的是，Frontpage是在标准构建PC上，我是在那些天，不是我自己的选择!

我的第一份工作是在IT安全部门实习。我的任务是自动化对不同用户帐户的网络和应用程序访问，因为每个用户都转移到不同的部门/角色。也就是说，我可以使用一些基本的工具，比如查询分析器，以及一些数据库，但其他的就不多了。该公司通常会把所有东西都锁起来，所以总是有重置和授予的权限。

在这份工作中，所有的兼职人员都被要求使用一个小的VB胖客户端应用程序来跟踪工作时间，在一周结束时，一个按钮可以显示登录的用户一周工作了多少小时，以及他们这一周将获得多少报酬。

出于纯粹的无聊，有一天我偶然发现了小时间跟踪应用程序驻留在网络上的目录，并注意到在该目录中除了EXE之外只有一个其他文件，一个settings.ini文件。

果不其然，打开文件后，连接字符串在明亮的闪光纯文本;用户、密码、数据库名、服务器等等。

在这一点上，我认为这不是真正的信息，但在启动查询分析器，并进入ini设置后，我进入了主生产数据库，其中有任何人都需要给自己加薪的每一块数据。对引导的完全读写权限。

最后，我向老板展示了一份关于谁赚多少钱的问题，他平静地让我把它转发给人力资源总监。

让我告诉你，在我的生活中，我从来没有收到过这么快的，亲自回复任何其他邮件的邮件。

第二天我开始工作，时间跟踪应用程序有一个更新，唉，没有更多的settings.ini文件。