सबसे खराब सुरक्षा छेद जो आपने देखा है? [बन्द है]

413

आपके द्वारा देखा गया सबसे खराब सुरक्षा छेद क्या है? दोषियों को बचाने के लिए विवरणों को सीमित रखना शायद एक अच्छा विचार है।

इसके लायक क्या है, यहां एक सवाल है कि क्या करें यदि आप एक सुरक्षा छेद ढूंढते हैं, और दूसरा किसी उपयोगी उत्तर के साथ यदि कोई कंपनी जवाब नहीं देती है।

security 
— si618
स्रोत
47
कम्युनिटी विकी इमो होना चाहिए ...
— क्रिस्टोफ़ीड
महान धागा! मुझे आशा है कि इसे डेलीडब्ल्यूटीएफ.कॉम
— डेल
बंद क्यों है? यह बिलकुल वाजिब सवाल है !!
— जॉंच
15
60 उत्तर और 28 अपवोट्स को बंद करने के लिए 5 वोटों को पछाड़ना प्रतीत होता है (जो कि जमा करने के लिए पूरे दिन लगा, AFAIK)। लेकिन मैं इस पर चर्चा नहीं होने तक फिर से मतदान करने से बचूंगा।
— 22
7
यहां तक ​​कि अगर आपका प्रश्न घंटों के लिए सामुदायिक विकि है, तो टिप्पणी अभी भी अच्छी टिप्पणी है, क्योंकि यह लोगों को याद दिलाता है कि इस तरह के प्रश्न सामुदायिक विकि होने चाहिए । यही मैं सोचता हूँ।
— जोरेन

जवाबों:

646

ऑनलाइन स्टोर के शुरुआती दिनों से:

शॉपिंग कार्ट की मात्रा क्षेत्र में .1 दर्ज करके 90% की छूट प्राप्त कर रहा है। सॉफ्टवेयर ने ठीक से .1 * लागत के रूप में कुल लागत की गणना की, और मानव पैकिंग ने आदेश को केवल अजीब से चमक दिया "।" पैक करने के लिए मात्रा के सामने :)

— जॉन स्टॉफ़र
स्रोत
75
यह निश्चित रूप से एक जोरदार टाइप की गई प्रणाली का उपयोग करने के पक्ष में एक तर्क है।
— पॉवरलॉर्ड
54
साइट क्या है? मुझे 90% की छूट चाहिए !!!
— amischiefr
58
हो सकता है कि आपने इसके बदले .10 प्रतिशत क्वानिटी का अनुरोध किया हो। ;)
— MiffTheFox
81
जेफ बेजोस ने उल्लेख किया कि अमेज़ॅन के शुरुआती दिनों में, आपके पास पुस्तकों की एक नकारात्मक मात्रा हो सकती है और अमेज़ॅन आपके खाते को क्रेडिट करेगा (और संभवतः आपके लिए इसे उनके लिए शिप करने की प्रतीक्षा करें)। Youtube.com/watch?v=-hxX_Q5CnaA
— जेफ़ मोसर
10
उस ग्राहक का चेहरा देखना पसंद करेंगे, जिसे वास्तव में वह .1 हार्डड्राइव दिया गया था, जिसका उसने भुगतान किया था।
— relet
575

कम से कम क्षम्य सुरक्षा छेद, और दुर्भाग्य से एक बहुत ही सामान्य और उस पर एक खोजने में आसान है Google हैकिंग है । इसका स्पष्ट उदाहरण:

http://www.google.com/search?q=inurl%3Aselect+inurl%3A%2520+inurl%3Afrom+inurl%3Awhere

यह आश्चर्यजनक है कि विशेष रूप से इंटरनेट, सरकारी साइटों पर कितने पृष्ठ हैं, क्वेरी स्ट्रिंग के माध्यम से एक SQL क्वेरी पास करें। यह SQL इंजेक्शन का सबसे खराब रूप है, और यह कमजोर साइटों को खोजने के लिए बिल्कुल भी प्रयास नहीं करता है।

मामूली चोटियों के साथ, मैं phpMyAdmin के असुरक्षित इंस्टॉलेशन, MySQL के असुरक्षित इंस्टॉलेशन, उपयोगकर्ता नाम और पासवर्ड वाले क्वेरी स्ट्रिंग्स आदि को खोजने में सक्षम हूं।

— जूलियट
स्रोत
25
— ykaganovich
6
हे प्यारे भगवान, कितना बेखौफ बेवकूफ है। वह मुझे उस डेवलपर को मानव संसाधन के लिए एक बॉक्स के साथ मार्च करना होगा।
— स्क्विलमैन
95
थोड़ा बॉबी टेबल पर फिर से हमला करता है ... xkcd.com/327
— gbjbaanb
86
OMFG ... अगली बार जब मेरा दिन खराब हो, तो मैं कुछ टेबल छोड़ देता हूं
— माइकल नीमैंड
11
मैं वास्तव में इस उदाहरण के बारे में क्या पसंद करता हूं कि पहला परिणाम एक ओरेकल ब्लॉग से है।
— रवि वालेउ
400

सोशल इंजीनियरिंग:

<Cthon98> hey, if you type in your pw, it will show as stars
<Cthon98> ********* see!
<AzureDiamond> hunter2
<AzureDiamond> doesnt look like stars to me
<Cthon98> <AzureDiamond> *******
<Cthon98> thats what I see
<AzureDiamond> oh, really?
<Cthon98> Absolutely
<AzureDiamond> you can go hunter2 my hunter2-ing hunter2
<AzureDiamond> haha, does that look funny to you?
<Cthon98> lol, yes. See, when YOU type hunter2, it shows to us as *******
<AzureDiamond> thats neat, I didnt know IRC did that
<Cthon98> yep, no matter how many times you type hunter2, it will show to us as *******
<AzureDiamond> awesome!
<AzureDiamond> wait, how do you know my pw?
<Cthon98> er, I just copy pasted YOUR ******'s and it appears to YOU as hunter2 cause its your pw
<AzureDiamond> oh, ok.

से bash.org

— बॉब अमन
स्रोत
2
Runescape पर हर समय होता था।
— इविल टीच
7
यह विशेष रूप से विनिमय वास्तव में होने की संभावना नहीं है (जो "एर" टाइप करेंगे जब वे कुछ को कवर करने की कोशिश कर रहे हैं?), लेकिन फिर भी अजीब बात है।
— माइकल मायर्स
1
मिमीर्स: यह भी बहुत कम संभावना है कि कोई rm -rf'd प्राप्त करने के लिए पर्याप्त बेवकूफ है, लेकिन यह निश्चित रूप से होता है। मैंने इसे स्वयं देखा है :)
— मैथ्यू इसलिन
25
बेवकूफ मस्तिष्क से ज्यादा असुरक्षित कुछ भी नहीं है
— अर्लज़
1
@EvilTeach उन्होंने वास्तव में RuneScape पर लागू किया है। मजाक भी नहीं कर रहा!
— corsiKa
339

Microsoft पर मेरे शुरुआती दिनों की सच्ची कहानी।

उस दिन जब तक आप जागते हैं और ZDNet.com पर हेडलाइन देखते हैं, तब तक आपको डर का पता नहीं चलता है, "मॉर्निंग वॉर में खोजा गया सबसे खराब इंटरनेट एक्सप्लोरर सुरक्षा छेद एवर है। जहां 'ब्लाह' कोड है जिसे आपने खुद छह महीने पहले लिखा था ।

काम करने के तुरंत बाद मैंने परिवर्तन लॉग की जाँच की और पाया कि किसी अन्य टीम पर - किसी ने जिस पर हमने उत्पाद में बदलाव करने के लिए भरोसा किया था - मेरे कोड की जाँच की थी, बिना किसी अच्छे कारण के, सुरक्षा रजिस्ट्री कुंजी सेटिंग्स का एक गुच्छा बदल दिया, इसे वापस चेक किया और कभी भी कोड की समीक्षा नहीं की या किसी को इसके बारे में नहीं बताया। आज तक मुझे नहीं पता कि पृथ्वी पर उसने क्या सोचा था कि वह क्या कर रहा है; इसके बाद उन्होंने कंपनी छोड़ दी। (अपने हिसाब से)

(अद्यतन: टिप्पणियों में उठाए गए मुद्दों के लिए कुछ प्रतिक्रियाएँ:

सबसे पहले, ध्यान दें कि मैं धर्मार्थ स्थिति लेने के लिए चुनता हूं कि सुरक्षा कुंजी में परिवर्तन अनजाने में किया गया था और दुर्भावना के बजाय लापरवाही या अपरिचितता पर आधारित था। मेरे पास एक तरह से या दूसरे के पास कोई सबूत नहीं है, और यह मानना ​​है कि गलतियों को मानव पतन के लिए विशेषता देना बुद्धिमानी है।

दूसरा, हमारे चेकइन सिस्टम बहुत अधिक मजबूत हैं, जितना वे बारह साल पहले थे। उदाहरण के लिए, अब चेकइन सिस्टम के बिना कोड की जाँच संभव नहीं है कि इच्छुक पार्टियों को परिवर्तन सूची ईमेल करें। विशेष रूप से, जहाज के चक्र में देर से किए गए बदलावों में उनके आसपास बहुत सारी "प्रक्रिया" होती है जो यह सुनिश्चित करती है कि उत्पाद की स्थिरता और सुरक्षा सुनिश्चित करने के लिए सही बदलाव किए जा रहे हैं।)

वैसे भी, बग यह था कि एक ऑब्जेक्ट जो इंटरनेट एक्सप्लोरर से उपयोग करने के लिए सुरक्षित नहीं था, गलती से "स्क्रिप्टिंग के लिए सुरक्षित" के रूप में चिह्नित किया गया था। ऑब्जेक्ट द्विआधारी फ़ाइलों को लिखने में सक्षम था - OLE स्वचालन प्रकार पुस्तकालय, वास्तव में - डिस्क स्थान के लिए। इसका मतलब यह था कि एक हमलावर एक प्रकार की लाइब्रेरी तैयार कर सकता है जिसमें शत्रुतापूर्ण कोड के कुछ तार होते हैं, इसे एक पथ पर सहेजें जो एक ज्ञात निष्पादन योग्य स्थान था, इसे किसी चीज़ का विस्तार दें जिससे एक स्क्रिप्ट चल सके, और उम्मीद है कि किसी तरह उपयोगकर्ता गलती से कोड चला जाएगा। मैं किसी भी सफल "वास्तविक दुनिया" हमलों के बारे में नहीं जानता, जो इस भेद्यता का उपयोग करता था, लेकिन इसके साथ काम करने वाले शोषण को शिल्प करना संभव था।

हमने उस एक के लिए जल्दी से एक पैच भेज दिया, मैं आपको बता दूं।

मैंने JScript में कई और सुरक्षा छेदों का कारण बना और बाद में, लेकिन उनमें से कोई भी कभी भी प्रचार के पास नहीं मिला जो किसी ने किया था।

— एरिक लिपर्ट
स्रोत
81
यकीनन, यह वास्तव में 2 सुरक्षा कारनामे हैं; एक दूसरे को कैसे कोड एक उत्पादन का निर्माण सर्वर पर किसी को भी देख के बिना / परिवर्तन ;-p का अनुमोदन प्राप्त करने के लिए किया जा रहा है
— मार्क Gravell
8
"मेरे कोड की जाँच की थी, बिना किसी अच्छे कारण के लिए सुरक्षा रजिस्ट्री कुंजी सेटिंग्स का एक गुच्छा बदल दिया, इसे वापस चेक किया और कभी भी कोड की समीक्षा नहीं की या किसी को इसके बारे में नहीं बताया" - मेरे लिए अक्षमता की तरह नहीं लगता है, यह किसी से दुर्भावनापूर्ण इरादे की तरह लगता है पता था कि वास्तव में वे क्या कर रहे थे।
— जूलियट
80
"कभी भी दुर्भावना की विशेषता न रखें, जिसे मूर्खता द्वारा पर्याप्त रूप से समझाया जा सके।" - हैनलन का रेजर
— डेविड आर ट्रिब्बल
15
Microsoft के उपयोग के लिए कोई एक स्रोत नियंत्रण प्रणाली अनिवार्य नहीं है। इन दिनों ज्यादातर टीमें या तो सोर्स डिपो या टीम फाउंडेशन का इस्तेमाल करती हैं। अप्रत्याशित रूप से, विज़ुअल स्टूडियो उत्पाद टीम आमतौर पर टीम फाउंडेशन का उपयोग करते हैं। अपने खुद के डॉगफूड खाओ, तुम्हें पता है।
— एरिक लिपर्ट
40
काम पर जाने से पहले ZDNet की जाँच कौन करता है?
— नील एन
274

मुझे उम्मीद है कि आप यहां गलत कर सकते हैं। (बहुत गलत, वास्तव में):

String emailBody = "";

for (int i = 0; i < subscribers.Count; i++)
{
    emailBody += "Hello " + subscribers[i].FirstName + ",";
    emailBody += "this is a reminder with your account information: \n\n:";
    emailBody += "Your username: " + subscribers[i].Username + "\n";
    emailBody += "Your password: " + subscribers[i].Password + "\n";
    emailBody += "Have a great day!";

    emailDispatcher.Send(subscribers[i].EmailAddress, emailBody);
}

अंतिम प्राप्तकर्ता सबसे खुश था;)

— एलेक्स
स्रोत
226
क्या आप इस तथ्य के बारे में बात कर रहे हैं कि आप सादे-टेक्स्ट पासवर्ड या इस तथ्य को संग्रहीत करते हैं कि ईमेलबॉडी को कभी भी साफ़ नहीं किया जाता है? मुझे भी यकीन नहीं है कि जो बदतर है।
— क्रिस्टोफ प्रोवोस्ट
208
आप StringBuilder का उपयोग नहीं मतलब है? : D (बस मजाक कर रहे हैं।)
— ShdNx
58
@ क्रिस्तोफ़ - मैं अनुमान लगा रहा हूं कि उनका मतलब इस तथ्य से है कि अंतिम उपयोगकर्ता को सभी उपयोगकर्ताओं और पासवर्डों की एक सूची मिलती है। :)
— डॉन ब्रैनसन
141
मैं पूरी तरह से घृणा करता हूं जो मुझे पंजीकरण प्रक्रिया के हिस्से के रूप में अपना पासवर्ड वापस ईमेल करता है। इसकी दो खामियां हैं: 1. वे अपने सिस्टम के भीतर कहीं न कहीं मेरा प्लेनटेक्स्ट पासवर्ड स्टोर कर रहे हैं। यदि उनका स्थायी उपयोगकर्ता डेटाबेस नहीं है, तो निश्चित रूप से उनका पंजीकरण प्रसंस्करण प्रणाली है। 2. यह EMAIL के माध्यम से भेजा गया था, या तो सादे पाठ या HTML, इंटरनेट के माध्यम से मेल रिले के माध्यम से अपने तरीके से SMTPing। वहाँ कई पुरुषों के बीच में है जो यह रोक सकता है। बहुत कम से कम, यदि आप मुझे सुरक्षित जानकारी के साथ ईमेल भेजने की आवश्यकता महसूस करते हैं, तो मुझे इसे एन्क्रिप्ट करने के लिए अपनी सार्वजनिक PGP कुंजी निर्दिष्ट करें!
— जेसी सी। स्लाइसर
16
मैंने एक बार डेटाबेस में पासवर्ड की सुरक्षा के लिए एमडी 5 हैश का उपयोग किया था। लेकिन जब मैंने नतीजे निकाले, तो एक इंद्रधनुष तालिका और लगभग 50% पासवर्ड से मिलान किया ... मुझे लगा कि नमक जोड़ने का यह अच्छा समय है।
— मैथ्यू Whited
206

पुराने आईबीएम सिस्टम 36 डंबल टर्मिनलों में एक कीबोर्ड संयोजन था जिसने एक मैक्रो की रिकॉर्डिंग शुरू की थी। इसलिए जब एक टर्मिनल लॉग इन नहीं था, तो आप एक मैक्रो की रिकॉर्डिंग शुरू कर सकते हैं और इसे उस स्थिति में छोड़ सकते हैं। अगली बार जब किसी ने लॉग इन किया, तो कीस्ट्रोक्स को मैक्रो में रिकॉर्ड किया जाएगा और अधिकतम अनुमत कुंजी दर्ज किए जाने पर रिकॉर्डिंग स्वचालित रूप से समाप्त हो जाएगी। बस बाद में वापस आएं और ऑटोलॉग-इन के लिए मैक्रो को फिर से दोहराएं।

वैकल्पिक शब्द

— प्रकट किया
स्रोत
204

सबसे खराब सुरक्षा छेद जो मैंने कभी देखा है, वास्तव में आपके द्वारा सही मायने में कोडित किया गया था और मेरे पूरे डेटाबेस को नष्ट करने के लिए Google बीओटी का कारण बना।

जब मैं पहली बार क्लासिक एएसपी सीख रहा था, तो मैंने अपने स्वयं के मूल ब्लॉग एप्लिकेशन को कोडित किया। सभी व्यवस्थापक स्क्रिप्ट वाली निर्देशिका को NTLM द्वारा IIS पर सुरक्षित किया गया था। एक दिन मैं एक नए सर्वर में चला गया और IIS (oops) में निर्देशिका को फिर से सुरक्षित करना भूल गया।

ब्लॉग होम पेज में मुख्य व्यवस्थापक स्क्रीन के लिए एक लिंक था, और मुख्य व्यवस्थापक स्क्रीन में प्रत्येक रिकॉर्ड (कोई पुष्टि के साथ) के लिए एक DELETE लिंक था।

एक दिन मैंने डेटाबेस में हर रिकॉर्ड को नष्ट कर दिया (सैकड़ों व्यक्तिगत प्रविष्टियाँ)। मैंने सोचा कि कुछ पाठक साइट में टूट गए थे और दुर्भावनापूर्ण रूप से हर रिकॉर्ड को हटा दिया था।

मुझे लॉग से पता लगाने के लिए आया था: Google बीओटी ने साइट को क्रॉल किया था, व्यवस्थापक लिंक का पालन किया, और सभी DELETE लिंक का पालन किया, जिससे डेटाबेस में हर रिकॉर्ड को हटा दिया गया। मुझे लगा कि मैं Google बीओटी द्वारा अनजाने में समझौता किए जाने के लिए डंबस ऑफ द ईयर पुरस्कार का हकदार हूं।

शुक्र है कि मेरे पास बैकअप था।

— माटीस नीनो
स्रोत
13
अंदाजा लगाइए कि यह कितनी सामान्य गलती है।
— si618
96
इसलिए आपको हमेशा बदलते कार्यों के लिए POST चाहिए।
— पुनरावर्ती
7
@recursive: सच है, लेकिन अगर निर्देशिका पासवर्ड-संरक्षित नहीं है, तो यह सब कुछ हटाने के लिए एक मानव बंद नहीं करता है।
— असंतुष्टगीत
2
मुझे ब्राउज़र प्लगइन्स के साथ यह समस्या हुई है जो लिंक को प्रीफ़ैच करते हैं। मैंने एक बार एक ब्लॉगिंग साइट के लिए काम किया था, और हम उन दिनों के लिए हैरान थे जब एक उपयोगकर्ता ने बताया कि उसके ब्लॉग पर सभी टिप्पणियां रहस्यमय तरीके से गायब हो जाएंगी।
— मैथ्यू
7
नहीं, आप उस पुरस्कार के लायक नहीं थे। यदि ऐसा हुआ होता तो आप इसके हकदार होते और आपके पास बैकअप नहीं होता।
— रयान ल्यूडी
187

सबसे बुरा छेद जो मैंने कभी देखा है, एक वेब एप्लिकेशन में एक बग था जहां एक खाली उपयोगकर्ता नाम और पासवर्ड आपको व्यवस्थापक के रूप में लॉग इन करेगा :)

— Kaitsu
स्रोत
144
आलसी डेवलपर्स के लिए एक बग या एक सुविधा? :)
— si618
9
मैंने ऐसा कोड देखा है। यह आमतौर पर इसलिए होता है क्योंकि उपयोगकर्ता लुकअप एक LIKE का उपयोग करता है, जैसे कि "Select * FROM [User] जहां UserName LIKE '%" + userName + "%'"। और चूंकि व्यवस्थापक आमतौर पर डेटाबेस में पहला उपयोगकर्ता है, इसलिए वह उस उपयोगकर्ता को वापस कर देता है।
— पियरे-एलेन विगेनट
11
आप एक उपयोगकर्ता नाम के साथ एक LIKE क्यों करेंगे? ... इसलिए मैं एडम टाइप करने का जिक्र करते हुए व्यवस्थापक टाइप कर सकता हूं
— मैथ्यू व्हीटेड
20
अधिकांश कंपनियां आपको खाता बंद करने से पहले दिए गए उपयोगकर्ता-आईडी के तहत लॉग इन करने के तीन प्रयास देती हैं। तो यह trivially आसान किसी को बाहर लॉक करने के लिए है elses तीन बुरा पासवर्ड के साथ खाते।
— डेविड आर ट्रिब्बल
3
मैंने इसे बहुत सारे कॉर्पोरेट वेबैप्स में देखा है जो एलडीएपी निर्देशिका के खिलाफ प्रमाणित करते हैं। LDAP में, एक खाली पासवर्ड के परिणामस्वरूप एक सफल अनाम लॉगिन होता है। अनाम उपयोगकर्ता बहुत कुछ नहीं कर सकता है, लेकिन इस तंत्र का उपयोग करने वाले वेबपेक जांचने तक नहीं जाते हैं - वे "सफलता = सही पासवर्ड" मान लेते हैं!
— साइमनजेट
174

एक बार एक वेब-साइट के URL पर इस पर ध्यान दिया।

http://www.somewebsite.com/mypage.asp?param1=x&param2=y&admin=0

अंतिम पैरामीटर को व्यवस्थापक में बदलने के लिए = 1 ने मुझे व्यवस्थापक विशेषाधिकार दिए। यदि आप नेत्रहीन उपयोगकर्ता इनपुट पर भरोसा करने जा रहे हैं तो कम से कम टेलीग्राफ न करें जो आप कर रहे हैं!

— JohnFx
स्रोत
19
यह एक आसान विशेषता है;) क्या आपने वॉरगेम्स को नहीं देखा है? "हर अच्छा डेवलपर अपने सिस्टम में एक पिछले दरवाजे को जोड़ता है" कुछ ऐसा ही है।
— एलेक्स
38
इसलिए शायद उन्हें
— JohnFx
165

मैंने इसे डेली डब्ल्यूटीएफ में देखा ।

<script language="javascript">
<!--//
/*This Script allows people to enter by using a form that asks for a
UserID and Password*/
function pasuser(form) {
    if (form.id.value=="buyers") { 
        if (form.pass.value=="gov1996") {              
            location="http://officers.federalsuppliers.com/agents.html" 
        } else {
            alert("Invalid Password")
        }
    } else {  
        alert("Invalid UserID")
    }
}
//-->
</script>

कुछ भी नहीं इस IMHO को हरा सकते हैं।

— कोनामिमन
स्रोत
21
मुझे लगता है कि यह उतना बेवकूफ नहीं हो सकता जितना आप सोचते हैं। यह तुच्छ पासवर्ड बटन की तरह काम कर सकता है "हाँ, मैं संघीय गवर्नमेंट से हूं" इस अंतर के साथ कि जो व्यक्ति इसका दुरुपयोग करने की कोशिश करता है, अगर पकड़ा गया, तो "झूठे क्रेडेंशियल्स" प्रदान करने के लिए भी मुकदमा चलाया जा सकता है (या वे इसे कैसे कहते हैं? )
— ilya एन।
29
ilya: यह जावास्क्रिप्ट है, इसलिए यह उपयोगकर्ता को दिखाई देता है। यह देखने के बाद, आप किसी भी तरह के नियंत्रण को दरकिनार करके केवल अधिकारियों के पास जा सकते हैं ।
— 12
68
चिंता मत करो, जब तक वेब साइट कॉपीराइट है, DMCA 100% सुरक्षा प्रदान करता है। आपको जावास्क्रिप्ट को "दरकिनार" करने की अनुमति नहीं है।
— स्टीव हनोव
13
@ हेटोव: आपके पास "परिधि" की एक दिलचस्प परिभाषा है यदि मैं टाइप करता हूं कि मेरे ब्राउज़र में यूआरएल है ... या यहां तक ​​कि इसे कॉपी / पेस्ट करें ... मैं कुछ भी नहीं दरकिनार कर रहा हूं, मैं सिर्फ अपने ब्राउज़र का उपयोग कर रहा हूं एक पता जो मैंने अपने एड्रेस बार में डाला था। जो वेब ब्राउज़र के इच्छित उद्देश्यों में से एक है।
— पॉवरलॉर्ड
46
बधाई हो, तुम निर्दोष हो, बहुत बुरा यह एक जूरी को समझाने के लिए 300k खर्च होता है कि
— डस्टिन गेट्ज़
141

किसी विश्वविद्यालय में कोई कम नहीं है, जो नाममात्र का रहेगा, उनके पास पोस्ट किए गए फॉर्म के बजाय यूआरएल के माध्यम से पारित किए जाने वाले सभी प्रश्न थे।

Google बॉट के साथ आने और अपने सभी URL के माध्यम से चलने और अपने डेटाबेस को मिटा देने तक इस चीज़ ने एक उपचार किया।

— Evernoob
स्रोत
18
डिजाइन द्वारा अच्छा पुराना एसक्यूएल इंजेक्शन। मैंने रिपोर्टिंग कार्यक्षमता के साथ काम किया है जिसमें "फीचर" बनाया गया है।
— ICodeForCfish
18
@ICodeForCfish: यहाँ SQL इंजेक्शन कहाँ है? यह केवल GST बनाम POST के उद्देश्यों को भ्रमित कर रहा है। यह नौसिखिया वेब देवों द्वारा एक काफी सामान्य गलती है। मुझे इस सटीक समस्या के बारे में एक डेली डब्ल्यूटीएफ लेख पढ़ना याद है।
— rmeador
अगर विकिपीडिया पर यह समस्या है तो बहुत प्रारंभिक संस्करण नहीं था? उनके पास लिंक थे जो संपादन या कुछ और वापस कर देंगे।
— असंतुष्टगीत
14
यहां वास्तविक समस्या यह है कि Googlebot डेटाबेस को कभी भी प्रमाणित किए बिना मिटा सकता है।
— MiffTheFox 14
34
आशा है कि वे उन्हें Google कैश से पुनर्प्राप्त करने में सक्षम थे।
— फास्टकोडजवा
137

आश्चर्यचकित कोई भी सामाजिक इंजीनियरिंग नहीं लाया है, लेकिन मुझे इस लेख से एक किक मिली है ।

सारांश: दुर्भावनापूर्ण उपयोगकर्ता कुछ दर्जन फ्लैश ड्राइव खरीद सकते हैं, उन्हें ऑटो-रन वायरस या ट्रोजन के साथ लोड कर सकते हैं, फिर कंपनी के पार्किंग स्थल पर देर रात को फ्लैश ड्राइव छिड़कें। अगले दिन, हर कोई काम करने के लिए दिखाता है, चमकदार, कैंडी के आकार का, अस्थिर हार्डवेयर पर ठोकर खाता है और खुद से कहता है "ओह वाह, मुफ्त फ्लैश ड्राइव, मुझे आश्चर्य है कि इस पर क्या है!" - 20 मिनट बाद पूरी कंपनी का नेटवर्क ठीक हो जाता है।

— जूलियट
स्रोत
69
ऑटोरन बुराई है।
— मार्क रैनसम
22
@ खरीदारों: फ्लैश ड्राइव पर प्रतिबंध लगाना अच्छा तरीका नहीं है। ऑटोरन / ऑटोप्ले को तोड़ें।
— Jay
10
कुछ समय पहले पढ़ें, एक और दृष्टिकोण (फ्लॉपी डिस्क समय से)। कार्यालय के गलियारे में "अकाउंटिंग डेटा - गोपनीय" नामक एक बूट संक्रमित फ्लॉपी डिस्क को लाइव करें और 5 मिनट प्रतीक्षा करें। अनूठा!
— रॉड्रिगो
13
सौभाग्य से, मैं हमेशा लिनक्स लाइव सीडी से बूट कर सकता हूं और वहां से फ्लैश ड्राइव की जांच कर सकता हूं।
— डेविड थॉर्नले
6
@ जय - दुर्भाग्य से, कितने लोग फाइलों को देखेंगे और फिर उन पर डबल क्लिक करेंगे "यह देखने के लिए कि वे क्या करते हैं"? लोगों को लगता नहीं है क्योंकि कई बार प्रतिबंध एक आवश्यकता है।
— 16
131

"पेडो मेलन ए मिननो" , "बोलो मित्र और प्रवेश करो", मोरिया के द्वार पर।

— एड्रियानो वरोली पियाज़ा
स्रोत
13
जैसे कि कोई भी जो एल्विश बोलता है उस पर भरोसा नहीं किया जा सकता है!
— आर्टिलियस
6
— लिली चुंग
103

माइक्रोसॉफ्ट बॉब
(क्रेडिट: डैन की 20 वीं सदी की परित्यक्ता )

यदि आप अपना पासवर्ड गलत तरीके से तीसरी बार दर्ज करते हैं, तो आपसे पूछा जाता है कि क्या आप अपना पासवर्ड भूल गए हैं।

http://img132.yfrog.com/img132/8397/msbob10asignin15.gif

लेकिन सुरक्षा होने के बजाय, सही पासवर्ड के लिए संकेत देना जारी रखने तक, जब तक कि यह दर्ज न हो जाए या कई गलत प्रयासों के बाद आपको लॉक न कर दे, आप कोई भी नया पासवर्ड दर्ज कर सकते हैं और यह मूल को बदल देगा! कोई भी किसी भी पासवर्ड "संरक्षित" Microsoft बॉब खाते के साथ ऐसा कर सकता है।

कोई पूर्व प्रमाणीकरण आवश्यक नहीं है। उसका मतलब है कि User1 अपने पासवर्ड को तीन बार गलत तरीके से बदलकर अपना पासवर्ड बदल सकता है और फिर चौथी बार एक नया पासवर्ड दर्ज कर सकता है - कभी भी "पासवर्ड बदलें" का उपयोग नहीं करना चाहिए।

इसका अर्थ यह भी है कि User1 ठीक उसी तरह से User2, User3 ... के पासवर्ड बदल सकता है। कोई भी उपयोगकर्ता किसी अन्य उपयोगकर्ता के पासवर्ड को केवल तीन बार गलत तरीके से बदलकर और फिर संकेत मिलने पर एक नया पासवर्ड दर्ज करके बदल सकता है - और फिर वे खाते तक पहुंच सकते हैं।

http://img132.yfrog.com/img132/9851/msbob10asignin16.gif

— जॉनएफएक्स को दर्शाता है
स्रोत
7
यह विंडोज के समान ही व्यवहार है जब एक कंप्यूटर को एक डोमेन द्वारा प्रशासित नहीं किया जाता है। यहां तक ​​कि विंडोज विस्टा अल्टिमेट पर, आप किसी भी समय एक पासवर्ड रीसेट कर सकते हैं। मैं यह अनुमान लगा रहा हूं कि अनधिकृत पहुंच की तुलना में इनकार-की-सेवा को एक बड़ा खतरा माना जाता है; खासकर जब से आप कहीं भी ड्राइव फिर से बढ़ते हुए ज्यादातर सामान प्राप्त कर सकते हैं। मेरा मानना ​​है कि इस मामले में पासवर्ड का उद्देश्य रोकथाम के बजाय घुसपैठ का पता लगाने के लिए है ।
— जेफरी एल व्हाइटलेज
1
@ जेफ्री: थिंग है, एक बार काली टोपी की भौतिक पहुंच है, यह "गेम ओवर" है। यदि आप उससे बचना चाहते हैं, तो आपको गंभीर एन्क्रिप्शन की आवश्यकता है (साथ ही हार्डवेयर और सॉफ्टवेयर keyloggers, आदि के लिए स्कैन करने के तरीके)।
— डेविड थॉर्नले
8
मेरे मुकाबले किसी समझदार ने कहा कि यह सिर्फ अच्छा खतरा है। 'बॉब' एक गैर-नेटवर्क युग में घरेलू उपयोग के लिए था और आप अपनी छोटी बहन या कुछ चोरों की तुलना में हैंगओवर से पीड़ित डॉस के पीड़ित होने की अधिक संभावना थे। बॉब आपको बताते हैं कि आपका खाता एक्सेस हो गया था (क्योंकि आपका पुराना पासवर्ड अब काम नहीं किया गया है) लेकिन अधिक करने की कोशिश नहीं की।
— सुबह 10:51
20
मेरी पत्नी ने मुझे सिर्फ यह देख कर देखा ... उसका: "ओह मेरी गश! क्या प्रोग्राम है ?!" मैं: "... Microsoft बॉब?" उसकी: "मुझे माइक्रोसॉफ्ट बॉब बहुत पसंद था !" आह ...
— टिम गुडमैन
10
@ChristianWimmer - लगता है कि लोगों को "पैराशूट" के रूप में चिह्नित बैकपैक देना पसंद है, इसलिए उन्हें अपनी पीठ पर एक की भावना करने की आदत होती है, लेकिन उन्हें बताए बिना वहाँ कोई पैराशूट नहीं है।
— जॉन एफएक्स
102

मेरे पास जो एक्स का पूर्व घर का पता था, और उसी शहर में उसका नया वर्तमान पता जानने की जरूरत थी, लेकिन उसके पास संपर्क करने का कोई तरीका नहीं था। मुझे लगा कि वह मेल ऑर्डर कैटलॉग का सामान्य दैनिक ढेर प्राप्त कर रहा है, इसलिए मैंने मनमाने ढंग से व्यूज कैंडीज के लिए 800 नंबर पर कॉल किया (जैसा कि विक्टोरिया सीक्रेट, या स्विस कॉलोनी, या किसी अन्य बड़े मेलर के विपरीत):

Me: "हाय, मैं जो एक्स हूं। मुझे लगता है कि आप मुझे अपने मेलिंग सूची में दो बार, मेरे पुराने पते और मेरे नए पते दोनों पर मिल चुके हैं। क्या आपका कंप्यूटर मुझे [पुराने पते] या [नकली पते] पर दिखाता है। ? "

ऑपरेटर: "नहीं, हम आपको [नए पते] पर दिखाते हैं।"

— जो स्नाइडर
स्रोत
36
आह, सोशल इंजीनियरिंग से प्यार है। सुरक्षा का मानवीय पहलू आमतौर पर सबसे कमजोर है।
— ईएमपी
— Flexo
95

टेक्स्टबॉक्स में 1 = 1 देने से सिस्टम के सभी उपयोगकर्ताओं की सूची बन जाती है।

— राहुल
स्रोत
325
बॉबी टेबल्स की ओर से बधाई।
— गुम्बो
4
कैसे कर सकते हैं @ Gumbo की टिप्पणी के रूप में 4 बार उत्तर के रूप में उतारा है?
— रेयान
12
सीधे शब्दों में, 4 बार लोग उस सवाल का मतदान था की राशि उसकी टिप्पणी मतदान: /
— RobertPitt
4
क्या बॉबी टेबल्स के 221 अप-वोटर्स में से कोई एक टिप्पणी करेगा जो बाकी लोगों को बताएगा कि बॉबी टेबल्स क्या है?
— kirk.burleson
15
@ kirk.burleson: xkcd.com/327
— gspr
76

रहने के लिए एक आवेदन सुरक्षा सलाहकार होने के नाते बहुत सारे सामान्य मुद्दे हैं जो आपको किसी वेबसाइट पर कुछ के माध्यम से प्रशासित करने देते हैं। लेकिन वास्तव में अच्छा हिस्सा वह है जब आप एक मिलियन डॉलर के मोज़े खरीद सकते हैं।

यह इस टमटम पर काम करने वाला मेरा एक दोस्त था, लेकिन इसका मतलब यह था कि एक निश्चित अब बहुत लोकप्रिय ऑनलाइन बुक (और बाकी सब) की वस्तुओं की कीमतों को HTML में ही एक छिपे हुए क्षेत्र के रूप में संग्रहीत किया गया था। शुरुआती दिनों में इस बग में बहुत सारे ऑनलाइन स्टोर थे, वे बस वेब का पता लगाना शुरू कर रहे थे। बहुत कम सुरक्षा जागरूकता, मेरा मतलब है कि वास्तव में कौन एचटीएमएल डाउनलोड करने वाला है, छिपे हुए क्षेत्र को संपादित करता है और ऑर्डर को फिर से सबमिट करता है?

स्वाभाविक रूप से हमने कीमत को 0 में बदल दिया और 1 मिलियन जोड़े मोज़े का आदेश दिया। आप मूल्य को नकारात्मक में भी बदल सकते हैं लेकिन ऐसा करने से उनके बैकेंड बिलिंग सॉफ्टवेयर बफर का कुछ हिस्सा लेनदेन समाप्त हो जाता है।

अगर मैं एक और चुन सकता है यह वेब अनुप्रयोगों में canonicalization मुद्दों पथ होगा। Foo.com?file=../../../../cc/passwd करने में सक्षम होना अद्भुत है

— कोलिन
स्रोत
9
बहुत बढ़िया, आपके पास कभी भी फिर से एक लापता बचा हुआ जुर्राब नहीं होगा!
— si618
75
क्या आपको कभी मोज़े मिले?
— एलेक्स बैरेट
32
आदेश के माध्यम से चला गया और पूर्ति प्रणाली ने गोदाम को सतर्क कर दिया। हमने महसूस किया कि यह शायद काम कर गया और हमारे संपर्क बिंदु से कहा कि वे आदेश को रोक दें। जाहिर तौर पर थोड़ा बाद में एक गोदाम प्रबंधक ने आदेश के बारे में पूछने के लिए कहा कि यह वास्तविक है। वह बुद्धिमानी से दिमाग में था कि यह एक सॉफ्टवेयर त्रुटि थी।
— कोलिन
27
@StuperUser, अपने पैरों पर, बिल्कुल।
— स्ट्रैजर
12
भंडारण के साथ कोई समस्या नहीं है, बस Ikea वेबसाइट को हैक करने के लिए उन्हें खींचने के लिए 100,000 सेट का ऑर्डर करना है,
— नील ऐटकन
64

डेटाबेस रूट पासवर्ड को दुर्घटना से स्रोत नियंत्रण के लिए प्रतिबद्ध करना। यह बहुत बुरा था, क्योंकि यह सोर्सफोर्ज पर स्रोत नियंत्रण था।

कहने की जरूरत नहीं है कि पासवर्ड बहुत जल्दी बदल गया।

— मैथ्यू इसेलिन
स्रोत
144
ठीक है, पासवर्ड बहुत जल्दी बदल गया ... लेकिन किसके द्वारा ?
— ईमोन नेरबोन ने
1
इस सड़क से नीचे उतर गए। कई सिस्टम (उदाहरण के लिए django, उदाहरण के लिए) व्यावहारिक रूप से इसे प्रोत्साहित करते हैं, क्योंकि वे आपको अपने DB पासवर्ड को सेटिंग फ़ाइल में डालने के लिए कहते हैं, जो स्वाभाविक रूप से, जांचना बहुत आसान है।
— mlissner
56

जब प्रमुख आईटी कर्मचारी कंपनी छोड़ देते हैं, तो पासवर्ड नहीं बदलते।

— मैक्स
स्रोत
1
या फैक्ट्री के डिफॉल्ट जैसे एडमिन / एडमिन (साथ ही या विशेष रूप से हार्डवेयर में) को
— छोड़ना
47
मैं एक बदतर मिल गया है - मैं निर्देशिका मुझे बता वे मेरे लिए एक उच्च ग्रेड काम निर्माण कर रहे थे के बाद मैं स्नातक की उपाधि प्राप्त की थी के साथ हो रही है साथ अनुभूत किया गया के बाद एक विश्वविद्यालय छोड़ दिया है, है, लेकिन मैं बाद में पाया बाहर वह मेरे प्रबंधक वे थे बताया नहीं करने के लिए मुझे बढ़ावा दे। कहने की जरूरत नहीं है, मैं इसके बारे में खुश नहीं था। मैंने विशेष रूप से अपने प्रबंधक से कहा था कि मैं हर उस पासवर्ड को बदलूं जिसकी मुझे पहुँच थी। मेरे जाने के एक हफ्ते बाद, मुझे अपने प्रबंधक से रूट पासवर्ड के साथ एक ई-मेल मिलता है, 'बस अगर मुझे इसकी आवश्यकता हो तो'। मैंने यह सुनिश्चित करने के लिए कि इसे फिर से बदल दिया गया था, अगर कुछ गलत हो गया, तो मैं पतन नहीं लेना चाहता, इसलिए मैंने sysadmin से संपर्क किया।
— जो
10
@ सोफोमोर: मुझे याद है कि फेनमैन की जीवनी में उन्होंने टिप्पणी की थी कि मैनहट्टन परियोजना के कई विशाल, अति-सुरक्षित तिजोरियों को डिफ़ॉल्ट संयोजनों में छोड़ दिया गया था।
— ब्रायन
12
मैं बस एक यूएसएसआर जासूस के सुरक्षित होने की कल्पना कर सकता हूं और वह सब कुछ करने की कोशिश कर सकता है जो वह सुरक्षित दरार करने के लिए सोच सकता है, "लानत है! मैं इसे दरार नहीं कर सकता। यह मजाकिया नहीं होगा यदि मैं बस ... वाह, स्कोर एक रूस के लिए!"
— एरिक
3
इसे पढ़ते हुए मुस्कुरा नहीं सकते, मैं एक आईटी तकनीशियन के रूप में एक बहुत प्रसिद्ध सिन कंपनी में गर्मियों में काम कर रहा था, और जब मैं एक इंजीनियर के रूप में काम करने के लिए कई साल बाद लौटा, तो मुझे कुछ सॉफ़्टवेयर स्थापित करने में कुछ समस्या हुई। नीले रंग में से मैंने पुराने व्यवस्थापक पासवर्ड और वॉइला को रीमाइबर किया! यह काम किया =)
— विक्टर सेहर
50

हालांकि यह सबसे खराब सुरक्षा छेद नहीं है जो मैंने कभी देखा है। लेकिन यह कम से कम सबसे खराब है जो मैंने खुद खोजा है:

ऑडियोबुक के लिए एक बहुत ही सफल ऑनलाइन दुकान ने सफल प्रमाणीकरण के बाद वर्तमान उपयोगकर्ता की पहचान की जानकारी संग्रहीत करने के लिए एक कुकी का उपयोग किया। लेकिन आप कुकी में उपयोगकर्ता आईडी को आसानी से बदल सकते हैं और अन्य खातों तक पहुंच सकते हैं और उन पर खरीद कर सकते हैं।

— प्रकट करता है
स्रोत
वाह ... मुझे एक एएसपी कोड जो मुझे विरासत में मिला था, वह मेरे पास था।
— रादु ०
मैं एक ऐप बनाए रखता हूं जिसमें यह सटीक मुद्दा है। यह सुनिश्चित करने के लिए, ठीक सूची पर उच्च है। शुक्र है, यह एक ईकॉमर्स साइट नहीं है।
— क्वेंटिन-स्टारिन
12
ऐसा ज्यादातर लोगों को एहसास होने से ज्यादा बार होता है।
— NotMe
47

.Com युग की शुरुआत में, मैं विदेशों में एक बड़े रिटेलर के लिए काम कर रहा था। हमने बहुत रुचि के साथ देखा क्योंकि हमारे प्रतियोगियों ने हमारे सामने महीनों पहले एक ऑनलाइन स्टोर लॉन्च किया था। बेशक, हम इसे आज़माने चले गए ... और जल्दी से महसूस किया कि हमारी खरीदारी की गाड़ियाँ मिश्रित हो रही थीं। क्वेरी स्ट्रिंग के साथ थोड़ा खेलने के बाद, हमें एहसास हुआ कि हम एक-दूसरे के सत्रों को हाईजैक कर सकते हैं। अच्छे समय के साथ, आप वितरण पता बदल सकते हैं, लेकिन भुगतान विधि को अकेले छोड़ दें ... यह सब आपके पसंदीदा आइटम के साथ गाड़ी भरने के बाद।

— एरिक जे।
स्रोत
बेशक, इसका मतलब यह है कि यदि आपने वास्तव में ऐसा किया है, तो आपको धोखे से आपको माल भेजने के लिए उनके साथ दुर्व्यवहार करने के लिए कुछ किया है, और आपके पते को "उन्हें" बताया।
— डेविड थॉर्नले
6
हां, यही वह है जो इसे एक प्रमुख सुरक्षा छेद बनाता है। हमने वास्तव में खरीद बटन नहीं दबाया था, लेकिन हम कर सकते थे। और, समाचार रिपोर्टों के आधार पर, कुछ लोगों ने किया।
— एरिक जे।
45

जब मैंने पहली बार कंपनी में काम किया था, तब मैं अपने बॉस को एक नए ग्राहक की मौजूदा ई-कॉमर्स वेब साइट पर देख रहा था। यह IIS और ई-कॉमर्स दोनों के शुरुआती शुरुआती दिनों में था, और सुरक्षा, हम कहेंगे, कड़े से कम।

एक लंबी कहानी को छोटा करने के लिए, उन्होंने एक URL (बस जिज्ञासा से बाहर) को बदल दिया, और महसूस किया कि निर्देशिका ब्राउज़िंग बंद नहीं की गई थी, इसलिए आप URL के अंत में केवल पृष्ठ का नाम काट सकते हैं और सभी फ़ाइलों को देख सकते हैं वेब सर्वर।

हमने एक्सेस डेटाबेस युक्त एक फ़ोल्डर ब्राउज़ करना समाप्त कर दिया, जिसे हमने डाउनलोड किया। यह संपूर्ण ई-कॉमर्स ग्राहक / ऑर्डर डेटाबेस था, जो कई हजार अनएन्क्रिप्टेड क्रेडिट कार्ड नंबरों के साथ पूरा हुआ था।

— मार्क बेल
स्रोत
1
यह लगभग बारह साल पहले था, जब डेटा-चालित वेब साइट्स एक अत्याधुनिक नवीनता थी; कई साइटें एक्सेस या समान के खिलाफ चली गईं, क्योंकि कोई भी अपने मुख्य व्यवसाय के लिए 'अलग' के रूप में देखी जाने वाली चीज़ के लिए SQL सर्वर लाइसेंस में निवेश नहीं करना चाहता था। कैसे चीजें बदल गई हैं!
— मार्क बेल
45

लोग सार्वजनिक वेबसाइटों पर अपना पासवर्ड पोस्ट कर रहे हैं ...

— L̳o̳̳n̳̳g̳̳p̳o̳̳k̳̳e̳̳
स्रोत
17
...साथ ही एक कड़ी बनाते हुए अच्छा स्पर्श : पी
— उल्टा
"2811A कंसोल पासवर्ड: प्रिंसेसलिया" यह मेरा पसंदीदा था।
— श्रीजेंडर
44

जब मैं 13 साल का था तब मेरे स्कूल ने छात्रों के लिए एक सोशल नेटवर्क खोला। दुर्भाग्य से उनके लिए मुझे एक सुरक्षा बग मिला जहां आप URI को किसी अन्य उपयोगकर्ता नाम में बदल सकते हैं जैसे "? UserID = 123" और उस उपयोगकर्ता के लिए लॉग इन हो जाएं। जाहिर है मैंने अपने दोस्तों को बताया, और अंत में स्कूलों का सोशल नेटवर्क पोर्न से भर गया।

हालांकि यह अनुशंसा नहीं करेंगे।

— hannson
स्रोत
3
आप इसकी अनुशंसा क्यों नहीं करेंगे? क्या हुआ?
— साइमन_वेवर
55
@Simon_Weaver: मुझे लगता है कि 13 साल के बच्चों में आमतौर पर पोर्न का अच्छा स्वाद नहीं होता है।
— slacker
@ slacker +1 आपको 1000 प्रतिनिधि पर रखने के लिए! सिवाय इसके कि मुझे नहीं लगता कि रेटिंग टिप्पणियां आपको प्रतिनिधि देती हैं :-(
— साइमन_वेपर
2
"पोर्न के लिए अच्छा स्वाद" - एक ऑक्सीमोरोन है।
— ज़ान एंडरसन
43

मुझे लगता है कि सुपरयूज़र एक्सेस के लिए रिक्त उपयोगकर्ता नाम / पासवर्ड फ़ील्ड अब तक सबसे खराब है। लेकिन एक मैंने खुद देखा है

if (password.equals(requestpassword) || username.equals(requestusername))
{
    login = true;
}

बहुत बुरा एक ऑपरेटर इतना बड़ा अंतर बनाता है।

— स्टीफन अर्न्स्ट
स्रोत
10
वाह, मुझे स्वाभाविक रूप से इसे ठीक करने की मजबूरी है
— wag2639
तथ्य यह है कि एक असली पासवर्ड का उपयोग हैश के बजाय वास्तव में भी बुरा है ...
— पीटर क्रिएन्स
पहले मैं "क्या गलत है?", और फिर मैं "AAAAaaaaaaAAAAAA! OMG"
— Bojan Kogoj
42

मेरा एक बैंक होगा जिसके लिए मैं ग्राहक था। मैं लॉग ऑन करने में सक्षम नहीं था, इसलिए मैंने ग्राहक सेवा को कॉल किया। उन्होंने मुझसे मेरा उपयोगकर्ता नाम और कुछ नहीं मांगा - कोई सुरक्षा प्रश्न नहीं पूछा या मेरी पहचान सत्यापित करने का प्रयास नहीं किया। फिर उन्होंने ईमेल पते पर पासवर्ड रीसेट भेजने के बजाय, जो उन्होंने फ़ाइल पर था, मुझसे पूछा कि इसे भेजने के लिए क्या ईमेल पता है। मैंने उन्हें फ़ाइल पर दी गई जानकारी से अलग एक पता दिया, और अपना पासवर्ड रीसेट करने में सक्षम था।

इसलिए अनिवार्य रूप से, सभी हैकर को मेरे उपयोगकर्ता नाम की आवश्यकता होगी, और वह फिर मेरे खाते तक पहुंच सकता है। यह एक प्रमुख बैंक के लिए था जो संयुक्त राज्य में कम से कम 90% लोगों ने सुना होगा। ऐसा करीब दो साल पहले हुआ था। मुझे नहीं पता कि यह एक खराब प्रशिक्षित ग्राहक सेवा प्रतिनिधि था या यदि वह मानक प्रक्रिया थी।

— शॉन
स्रोत
22
और क्या बैंक है, कृपया?
— टाइगर टाइगर 24'09
5
@Si: इसमें लिखा है, 'I WAS a customer of ...'। मुझे लगता है कि सवाल का जवाब है। :)
— ShdNx
8
यह वाशिंगटन म्यूचुअल था, जिसे FDIC द्वारा जब्त कर लिया गया था और इस साल की शुरुआत में चेस को बेच दिया गया था। उनके पास अजीब त्रुटि संदेश भी थे। जब मैंने अपना पासवर्ड अस्थायी से सेट करने का प्रयास किया तो मुझे "पासवर्ड से मेल नहीं खाता" त्रुटि मिलती रही, भले ही वे समान थे और मैंने भी कॉपी / पेस्ट किया। मुझे एहसास हुआ कि अगर मैं "अमान्य वर्ण" को एक फॉरवर्ड स्लैश की तरह रखता हूं, तो अमान्य वर्ण कहने के बजाय, यह मुझे वह अन्य संदेश देगा।
— सीन
11
@ एलिजाबेथ: उम्म ... आपको लगता है कि सही फ़िशिंग को रोकना है? अगर कोई बैंक की वेबसाइट की नकल करने या नकल करने की कोशिश करता है तो यह बिल्कुल वैसा ही दिख सकता है, लेकिन संभवतः उनके पास डेटाबेस तक पहुंच नहीं है, इसलिए वे सही सुरक्षा तस्वीर नहीं खींच सकते। इसलिए वहीं है। सभी उपयोगकर्ता प्रमाणपत्र की जांच करने के लिए पर्याप्त स्मार्ट नहीं हैं (जो समान रूप से
— झांसा दिया
13
अपने वित्तीय खातों की सुरक्षा ओवरकिल है? ...
— जो फिलिप्स 15
36

मैं एक मैं बनाया साझा करेंगे। एक प्रकार का।

वर्षों और साल पहले और साल पहले मैं जिस कंपनी में काम कर रहा था, वह उनके एएसपी वेब साइट पर इंडेक्सिंग चाहता था। तो मैं चला गया और सूचकांक सर्वर स्थापित किया, कुछ व्यवस्थापक निर्देशिकाओं को छोड़कर और सब अच्छा था।

हालाँकि मेरे लिए किसी ने अज्ञात को वेब सर्वर के लिए बिक्री व्यक्ति ftp एक्सेस दिया था ताकि वह घर से काम कर सके, यह डायलअप का दिन था और यह उसके लिए सबसे आसान तरीका था कि वह फाइलों को स्वैप कर सके .... और उसने चीजें अपलोड करना शुरू कर दिया, हमारी सेवाओं पर मार्कअप का विवरण देने वाले दस्तावेज़ों सहित .... जो कि सर्वर को अनुक्रमित करता है और "कॉस्ट" के लिए लोगों द्वारा खोजे जाने पर सेवा शुरू करता है।

याद रखें कि बच्चे, श्वेत सूची में नहीं होते हैं।

— डार्ट को ज़ोर से फेंकना
स्रोत
76
मुझे लगता है कि "श्वेतसूची में अश्वेत नहीं होते हैं", जबकि अक्सर अच्छी सलाह, यहां सीखने के लिए सही सबक नहीं है। सही सबक "सार्वजनिक सर्वर पर निजी डेटा न डालें" है। इसके अलावा, "बिक्री लोगों को सर्वर तक पहुंचने न दें"।
— rmeador
7
ओह, जवाब और अवतार के बीच सामंजस्य।
— 9ağdaş Tekin
35

सबसे सरल में से एक, अभी तक वास्तव में लागत योग्य है:

भुगतान प्रणाली जो पेपाल जैसे इंजन का उपयोग करती है त्रुटिपूर्ण बनाया जा सकता है क्योंकि भुगतान सफल होने के बाद पेपल से प्रतिक्रिया वापस नहीं ली गई है क्योंकि यह होना चाहिए।

उदाहरण के लिए:

मैं कुछ सीडी खरीद वेबसाइट पर जा सकता हूं और कार्ट में कुछ सामग्री जोड़ सकता हूं, फिर चेकआउट चरणों के दौरान आमतौर पर उस पृष्ठ पर एक फॉर्म होता है जिसे पेपाल के लिए फ़ील्ड के साथ पॉपुलेट किया गया है, और "पे" के लिए एक बटन सबमिट करें।

एक डोम संपादक मैं का उपयोग करना प्रपत्र "लाइव" में जाने और से मूल्य बदल सकते हैं £899.00करने के लिए£0.01 और उसके बाद सबमिट क्लिक करें ...

जब मैं चीजों के पेपल साइड पर होता हूं, तो मैं देख सकता हूं कि राशि 1 पैसा है, इसलिए मैं भुगतान करता हूं और पेपल कुछ मापदंडों को प्रारंभिक खरीद साइट पर पुनर्निर्देशित करता है, जो केवल मापदंडों को मान्य करता है जैसे payment_status=1 , आदि करते हैं, और नहीं। भुगतान की गई राशि को मान्य करें।

यह महंगा हो सकता है अगर उनके पास पर्याप्त लॉगिंग नहीं है या उत्पादों को स्वचालित रूप से भेजा जाता है।

सबसे खराब प्रकार की साइटें वे साइटें हैं जो एप्लिकेशन, सॉफ़्टवेयर, संगीत आदि वितरित करती हैं।

— रॉबर्टपिट
स्रोत
12
+1 पर सहमत हुए। होस्ट किए गए भुगतान पृष्ठ की स्थिति में मूल वेबसाइट को उपयोगकर्ता को पोस्ट किए गए मानों को चलाने की अनुमति नहीं देनी चाहिए; इसके बजाय पेज को उपयोगकर्ता के क्लिक पर खुद को वापस पोस्ट करना चाहिए और फिर सर्वर तैयार करना चाहिए और उपयुक्त मानों के साथ भुगतान "गेटवे" पर सीधे पोस्ट भेजें। यह सब इस बात पर निर्भर करता है कि गेटवे क्या उम्मीद करता है और इसके साथ कैसे बातचीत की जा सकती है, लेकिन मैं किसी भी गेटवे को इसके नमक के लायक नहीं देख सकता जो आपके द्वारा वर्णित से अधिक सुरक्षित परिदृश्य नहीं है। शायद मैं गलत हूं।
— जॉन के
आप सर्वर साइड से रिक्वेस्ट की नकल कर सकते हैं ताकि डेटा को इस तरह से भेज सकें कि आप यह सुनिश्चित कर सकें कि गेटवे पर भेजा जा रहा डेटा बिल्कुल वैसा ही है, और फिर उन्हें लोकेशन हेडर के साथ रीडायरेक्ट करें।
— रॉबर्टपिट
पेपाल में एक एन्क्रिप्शन विकल्प है जो साइट को इससे बचाता है। साइट पहले डेटा को अपने आप में वापस भेजती है, ऑर्डर डेटा सर्वर-साइड को केवल उनके और पेपाल के लिए ज्ञात एक कुंजी के साथ एन्क्रिप्ट करती है, और फिर उस डेटा को पेपल में भेजती है जो इसे डिक्रिप्ट करता है। अनएन्क्रिप्टेड ऑर्डर डेटा को कभी भी फॉर्म फील्ड में नहीं भेजा जाता है। हालांकि यह केवल एक विकल्प है, इसलिए पेपाल का उपयोग करने वाली हर साइट ऐसा नहीं करती है। वे हालांकि चाहिए!
— मिकेल
35

कैसे एक ऑनलाइन दस्तावेज़ प्रबंधक के बारे में, जो आपके द्वारा याद की जाने वाली प्रत्येक सुरक्षा अनुमति को सेट करने की अनुमति देता है ...

जब तक आप डाउनलोड पृष्ठ पर नहीं आए हैं ... download.aspx? DocumentId = 12345

हां, डॉक्यूमेंटआईड डेटाबेस आईडी (ऑटो-इन्क्रीमेंट) था और आप हर एक नंबर को लूप कर सकते थे और किसी को भी कंपनी के सभी दस्तावेज मिल सकते थे।

जब इस समस्या के लिए सतर्क परियोजना प्रबंधक प्रतिक्रिया थी: ठीक है, धन्यवाद। लेकिन किसी ने भी पहले इस पर ध्यान नहीं दिया है, तो चलो इसे वैसे ही रखें।

— सर्जियो
स्रोत
56
मैं वास्तव में उस रवैये से नफरत करता हूं, यह कुछ बार हो रहा है। मुझे लगता है कि दूसरों को यह सिर्फ उन्हें सबक सिखाने के लिए करना चाहता हूं।
— syaz
मैं आखिरकार अपनी पिछली नौकरी में इस तरह से एक छेद भरने के लिए आगे बढ़ गया ... महीनों तक इसके बारे में शिकायत करने के बाद।
— आंखों की रोशनी
वेबसाइटों को खोजने के लिए यह असामान्य नहीं है कि आप ऐसा करें। आपको हाल ही में या संग्रहीत लेखों की एक निर्देशिका दिखाई देगी, लेकिन लॉग इन किए बिना पृष्ठ या दो की तुलना में सूची में आगे नहीं जा सकते। बस पहला लेख खोलें, और किसी भी पोस्ट में url में सही पैरामीटर बदलें। आप किसी भी लेख को देखना चाहते हैं।
— को बॉब-द-डिस्ट्रॉयर
2
यहाँ इसका एक बड़ा उदाहरण दिया गया है। इस NY टाइम्स लेख में: nytimes.com/2009/01/14/dining/14power.html?_r=1&ref=dining दिखाया गया चित्र बहुत अधिक प्रचलित मूल संस्करण के लिए एक प्रतिस्थापन है, अभी भी यहाँ उपलब्ध है: graphics8.nyximes.com /images/2009/01/14/dining/14power2_650.jpg
— जेमी ट्रूवेरी
34

नॉर्वेजियन पिज्जा डिलीवरी में एक सुरक्षा छेद था जहां आप अपने नए और चमकदार इंटरनेट पोर्टल पर पिज्जा की नकारात्मक मात्रा का आदेश दे सकते थे और उन्हें मुफ्त में प्राप्त कर सकते थे।

— user110763
स्रोत
42
अन्य सुरक्षा छेद कर्मचारियों, सही है? "ठीक है सर, कंप्यूटर कहता है कि आपको मुफ्त में 15 पिज्जा मिलते हैं, इसलिए ... यहाँ आप जाते हैं! ... क्या मुझे टिप मिलती है?"
— नाथन लॉन्ग
6
... अपने पिज्जा जगह डीवीडी भी देता है? Oo
— मपेन
5
एक पूर्व पिज्जा ड्राइवर के रूप में ... नहीं, हमने उस तरह के सामान के बारे में चूहों को आश्वासन नहीं दिया। और न ही हमारे प्रबंधकों।
— आंखों की रोशनी
48
क्या डिलीवरी मैन आपके द्वारा बेची जा रही पिज्जा को लेने के लिए नहीं आएगा ?
— जॉन बी
7
वाह .. और डिलीवरी वाले को आपको टिप देनी थी? =))
— आंद्रेई Reanea
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.