আপনি দেখেছেন সবচেয়ে খারাপ সুরক্ষা গর্ত? [বন্ধ]

Question

আপনি দেখেছেন সবচেয়ে খারাপ সুরক্ষা গর্ত কি? দোষীদের রক্ষা করার জন্য বিশদ সীমাবদ্ধ রাখা সম্ভবত একটি ভাল ধারণা।

এটির মূল্য কীসের জন্য, আপনি যদি কোনও সুরক্ষা গর্ত খুঁজে পান তবে কী করবেন সে সম্পর্কে একটি প্রশ্ন এবং কোনও সংস্থা যদি কোনও উত্তর দেয় না (মনে হয়) তবে কিছু দরকারী উত্তর সহ another

Comments

সম্প্রদায়ের উইকি ইমো হওয়া উচিত ...

— ক্রিস্টোফেড

দুর্দান্ত থ্রেড! আমি আশা করি এটি ডেইলিডব্লিউটিএফ.কম

— ডেল

কেন বন্ধ? এটা পুরোপুরি যুক্তিসঙ্গত প্রশ্ন? !!

— জনক

answers০ টি উত্তর এবং ২৮ টি upvotes বন্ধ হওয়া 5 টি ভোট ছাড়িয়ে যাবে বলে মনে হচ্ছে (এটি পুরো দিন জমে উঠেছে, এএফাইক)। তবে আমি এই বিষয়ে আলোচনা না হওয়া পর্যন্ত পুনরায় খুলতে ভোট দেওয়া থেকে বিরত থাকব।

— রোমেডোর

এমনকি যদি আপনার প্রশ্নটি কয়েক ঘন্টা ধরে সম্প্রদায়ের উইকি হয়ে থাকে, তবে মন্তব্যটি আপভোট করার জন্য একটি ভাল মন্তব্য, কারণ এটি লোকজনকে মনে করিয়ে দেয় যে এই জাতীয় প্রশ্নের অনুরূপ সম্প্রদায় উইকি হওয়া উচিত । এটাই আমার মনে হয়।

— জোরেেন

Answer 1

অনলাইন স্টোরের প্রথম দিনগুলি থেকে:

শপিং কার্টের পরিমাণ ক্ষেত্রে .1 প্রবেশ করে 90% ছাড় পাচ্ছেন। সফ্টওয়্যারটি মোট ব্যয়টিকে .1 * ব্যয় হিসাবে সঠিকভাবে গণনা করেছে, এবং মানব প্যাকিং অর্ডারটি কেবলমাত্র বিজোড়ের উপর দিয়ে দেখেছে "" প্যাক করার পরিমাণের সামনে :)

Comments

এটি অবশ্যই দৃ strongly়ভাবে টাইপ করা সিস্টেম ব্যবহারের পক্ষে একটি যুক্তি।

— পাওয়ারলর্ড

সাইটটি কী? আমি 90% ছাড় চাই !!!

— amischiefr

পরিবর্তে আপনার পরিবর্তে .10 শতাংশ পরিমাণ অনুরোধ করা উচিত ছিল। ;)

— মিফ দ্য ফক্স

জেফ বেজোস উল্লেখ করেছিলেন যে অ্যামাজনের খুব প্রথম দিনগুলিতে আপনার কাছে নেতিবাচক পরিমাণে বই থাকতে পারে এবং অ্যামাজন আপনার অ্যাকাউন্টে জমা দেবে (এবং সম্ভবত এটি তাদের কাছে প্রেরণের জন্য অপেক্ষা করবে)। 0:47 দেখুন youtube.com/watch?v=-hxX_Q5CnaA

— জেফ মোসার

আসলে যে গ্রাহকের জন্য তিনি .1 হার্ডড্রাইভের জন্য অর্থ প্রদান করেছিলেন তার গ্রাহকের মুখটি দেখতে পছন্দ করতেন।

— relet

Answer 2

গুগল হ্যাকিং হ'ল সর্বনিম্ন ক্ষমাযোগ্য সুরক্ষা গর্ত এবং দুর্ভাগ্যক্রমে এটি খুব সাধারণ এবং এটির সন্ধান করা সহজ । বিন্দু ক্ষেত্রে:

http://www.google.com/search?q=inurl%3Aselect+inurl%3A%2520+inurl%3Afrom+inurl%3Awhere

এটি আশ্চর্যজনক যে ইন্টারনেটের কতগুলি পৃষ্ঠা, বিশেষত সরকারী সাইটগুলি কোয়েরি স্ট্রিংয়ের মাধ্যমে একটি এসকিউএল কোয়েরি পাস করে। এটি এসকিউএল ইঞ্জেকশনটির সবচেয়ে খারাপ রূপ এবং এটি দুর্বল সাইটগুলি খুঁজে পেতে কোনও প্রকার প্রচেষ্টা লাগে না।

ছোটখাটো টুইটের সাহায্যে, আমি পিএইচপিএমওয়াই অ্যাডমিনের অরক্ষিত ইনস্টলেশন, মাইএসকিউএল এর সুরক্ষিত ইনস্টলেশন, ব্যবহারকারীর নাম এবং পাসওয়ার্ড সহ কোয়েরি স্ট্রিং ইত্যাদি সন্ধান করতে সক্ষম হয়েছি

Comments

johnny.ihackstuff.com/ghdb

— ইয়াকাগানোভিচ

ওহে প্রিয় ,শ্বর, কত অকল্পনীয় বোকা। এটি আমার হাতে সেই বাক্সটি এইচআর-এর কাছে মার্চ করা হবে to

— স্কুইলম্যান 16

ছোট্ট ববি টেবিল আবার আঘাত করেছে ... xkcd.com/327

— gbjbaanb

ওএমএফজি ... পরের বার আমার খারাপ দিন আসার পরে আমি কিছু টেবিল ফেলে রাখি

— মাইকেল নিক্যান্ড

এই উদাহরণটি সম্পর্কে আমি যা পছন্দ করি তা হ'ল প্রথম ফলাফলটি ওরাকল ব্লগ থেকে।

— রবি ওয়ালাউ

Answer 3

সামাজিক প্রকৌশলী:

<Cthon98> hey, if you type in your pw, it will show as stars
<Cthon98> ********* see!
<AzureDiamond> hunter2
<AzureDiamond> doesnt look like stars to me
<Cthon98> <AzureDiamond> *******
<Cthon98> thats what I see
<AzureDiamond> oh, really?
<Cthon98> Absolutely
<AzureDiamond> you can go hunter2 my hunter2-ing hunter2
<AzureDiamond> haha, does that look funny to you?
<Cthon98> lol, yes. See, when YOU type hunter2, it shows to us as *******
<AzureDiamond> thats neat, I didnt know IRC did that
<Cthon98> yep, no matter how many times you type hunter2, it will show to us as *******
<AzureDiamond> awesome!
<AzureDiamond> wait, how do you know my pw?
<Cthon98> er, I just copy pasted YOUR ******'s and it appears to YOU as hunter2 cause its your pw
<AzureDiamond> oh, ok.

Bash.org থেকে

Comments

রুনেসকেপে সারাক্ষণ ঘটত।

— এভিলটেক

এই বিশেষ বিনিময়টি আসলে ঘটে যাওয়ার খুব সম্ভাবনা নেই (তারা যখন কোনও কিছু coverেকে দেওয়ার চেষ্টা করছেন তখন "কে" টাইপ করবেন?) তবে তা মজার বিষয়।

— মাইকেল ময়র্স

এমমিয়ার্স: এটি খুব সম্ভবত অসম্ভব যে কেউ আরএম-আরফ'ড করার পক্ষে যথেষ্ট বোকা, তবে তা অবশ্যই ঘটে। আমি নিজে দেখেছি :)

— ম্যাথু ইসেলিন

বোকা মস্তিষ্কের চেয়ে বেশি

— সুরক্ষিত

@ এভিলটিচ তারা বাস্তবে এটি রুনস্কেপে প্রয়োগ করেছে। মজাও করছে না!

— কর্সিকা

Answer 4

মাইক্রোসফ্টে আমার প্রথম দিন থেকে সত্য ঘটনা।

যেদিন আপনি জেগে উঠেছিলেন এবং জেডডি নেট ডটকমের সেই শিরোনামটি দেখলেন সেদিন পর্যন্ত আপনি ভয় জানেন না "" " সবচেয়ে ভাল ইন্টারনেট এক্সপ্লোরার সিকিউরিটি হোলটি 'ব্লা'এর মধ্যে আবিষ্কার হয়েছে " যেখানে' ব্লা'এই কোডটি আপনি নিজেকে ছয় মাস আগে লিখেছিলেন is ।

তাত্ক্ষণিকভাবে কাজ করার পরে আমি পরিবর্তনের লগগুলি পরীক্ষা করে দেখেছি যে অন্য একটি দলের কেউ - আমরা যে পণ্যটিতে পরিবর্তন করতে বিশ্বাস করি - তিনি আমার কোডটি পরীক্ষা করে দেখেছেন, কোনও কারণ ছাড়াই সুরক্ষা রেজিস্ট্রি কী সেটিংসের একগুচ্ছ পরিবর্তন করেছেন, এটি আবার চেক ইন করে নিল এবং কোনও কোড পর্যালোচনা পেল না বা এ সম্পর্কে কাউকে কিছু জানায়নি। আজ অবধি আমার কোন ধারণা নেই যে তিনি পৃথিবীতে কী ভেবেছিলেন তিনি কী করছেন; এর পরেই তিনি সংস্থাটি ছেড়ে চলে যান। (তার নিজের ইচ্ছার।)

(আপডেট): মন্তব্যে উত্থাপিত বিষয়ে কয়েকটি প্রতিক্রিয়া:

প্রথম, নোট করুন যে আমি দাতব্য অবস্থানটি গ্রহণ করা বেছে নিয়েছি যে সুরক্ষা কী পরিবর্তনগুলি অনিচ্ছাকৃত এবং দুর্বলতার পরিবর্তে অসতর্কতা বা অপরিচিততার ভিত্তিতে ছিল। আমার কাছে কোনওভাবেই বা অন্য কোনও প্রমাণ নেই এবং আমি বিশ্বাস করি যে ভুলকে মানুষের পতনের জন্য দায়ী করা বুদ্ধিমানের কাজ।

দ্বিতীয়ত, আমাদের চেকিন সিস্টেমগুলি বারো বছর আগের তুলনায় এখন অনেক বেশি শক্তিশালী। উদাহরণস্বরূপ, চেকিন সিস্টেমটি আগ্রহী পক্ষগুলিতে পরিবর্তন তালিকা ইমেল না করে কোড চেক করা এখন সম্ভব নয়। বিশেষত, জাহাজ চক্রের শেষ দিকে করা পরিবর্তনগুলির চারপাশে প্রচুর "প্রক্রিয়া" রয়েছে যা নিশ্চিত করে যে পণ্যের স্থায়িত্ব এবং সুরক্ষা নিশ্চিত করতে সঠিক পরিবর্তন করা হচ্ছে))

যাইহোক, বাগটি ছিল যে কোনও জিনিস যা ইন্টারনেট এক্সপ্লোরার থেকে ব্যবহার করা নিরাপদ ছিল না তা ঘটনাক্রমে তাকে "স্ক্রিপ্টিংয়ের জন্য নিরাপদ" হিসাবে চিহ্নিত করা হয়েছিল। বস্তুটি বাইনারি ফাইলগুলি লিখতে সক্ষম ছিল - OLE অটোমেশন ধরণের লাইব্রেরিগুলি, বাস্তবে - স্বেচ্ছাসেবী ডিস্কের অবস্থানগুলিতে। এর অর্থ হ'ল আক্রমণকারী কোনও প্রকারের লাইব্রেরি তৈরি করতে পারে যার মধ্যে বিরূপ কোডের নির্দিষ্ট স্ট্রিং রয়েছে, এটি একটি নির্ধারিত এক্সিকিউটেবল লোকেশন এমন একটি পাথে সংরক্ষণ করতে পারে, এটি এমন কোনও কিছুতে প্রসারিত করতে পারে যা স্ক্রিপ্টটি চালিত করতে পারে এবং আশা করে যে কোনওভাবে ব্যবহারকারী দুর্ঘটনাক্রমে কোড চালানো হবে। এই দুর্বলতাটি ব্যবহার করে এমন কোনও সফল "সত্যিকারের বিশ্বের" আক্রমণ সম্পর্কে আমি জানি না, তবে এটির সাথে একটি কার্যকরী শোষণ কারুকাজ করা সম্ভব হয়েছিল।

আমরা সেইটির জন্য দ্রুত একটি প্যাচ দ্রুত প্রেরণ করেছি, আমি আপনাকে বলি।

আমি জেএসক্রিপ্টে আরও অনেকগুলি সুরক্ষা গর্ত সৃষ্টি করেছি এবং পরবর্তীকালে স্থির করেছি, তবে তাদের কেউই প্রচারের কাছে কোথাও পায়নি one

Comments

যুক্তিযুক্তভাবে, এটি আসলে 2 সুরক্ষা শোষণ; অন্যটি হ'ল কীভাবে প্রডাকশন বিল্ড সার্ভারে কোড পাবেন কীভাবে পরিবর্তনটি লক্ষ্য করা / অনুমোদন না করে ;

— মার্ক

"আমার কোডটি পরীক্ষা করে দেখেছিল, অকারণে সুরক্ষা রেজিস্ট্রি কী সেটিংসের একগুচ্ছ পরিবর্তন করেছে, এটিকে আবার চেক ইন করেছে এবং কোনও কোড পর্যালোচনা পেল না বা এ সম্পর্কে কাউকে কিছু বলল না" - এটি আমার পক্ষে অযোগ্যতার মতো মনে হয় না, এটি কারও কাছ থেকে দূষিত অভিপ্রায়গুলির মতো শোনাচ্ছে তারা ঠিক কী করছে তা জানত ।

— জুলিয়েট

"বোকামির সাথে কখনও এট্রিবিউট করবেন না যা মূর্খতার দ্বারা যথাযথভাবে ব্যাখ্যা করা যেতে পারে।" - হ্যানলনের রেজার

— ডেভিড আর ট্রাইবল

মাইক্রোসফ্ট জুড়ে ব্যবহারের জন্য বাধ্যতামূলকভাবে কোনও উত্স নিয়ন্ত্রণ ব্যবস্থা নেই। আজকাল বেশিরভাগ টিম হয় সোর্স ডিপো বা টিম ফাউন্ডেশন ব্যবহার করে। আশ্চর্যজনকভাবে, ভিজ্যুয়াল স্টুডিও পণ্য দলগুলি সাধারণত টিম ফাউন্ডেশন ব্যবহার করে। আপনার নিজের ডগফুড খান, আপনি জানেন।

— এরিক লিপার্ট 21

কাজ করতে যাওয়ার আগে কে জেডডি নেট পরীক্ষা করে?

— নিল এন

Answer 5

আমি আশা করি আপনি এখানে যা ভুল তা স্পষ্ট করতে পারেন। (ভয়ানক ভুল, আসলে):

String emailBody = "";

for (int i = 0; i < subscribers.Count; i++)
{
    emailBody += "Hello " + subscribers[i].FirstName + ",";
    emailBody += "this is a reminder with your account information: \n\n:";
    emailBody += "Your username: " + subscribers[i].Username + "\n";
    emailBody += "Your password: " + subscribers[i].Password + "\n";
    emailBody += "Have a great day!";

    emailDispatcher.Send(subscribers[i].EmailAddress, emailBody);
}

শেষ প্রাপকটি সবচেয়ে সুখী ছিল;)

Comments

আপনি কি সরল-পাঠ্যের পাসওয়ার্ডগুলি সংরক্ষণ করেন বা ইমেলবডিটি কখনই সাফ হয় না এই বিষয়ে কথা বলছেন? আমিও নিশ্চিত নই যে কোনটি খারাপ।

— ক্রিস্টফ প্রোভস্ট

আপনি স্ট্রিংবিল্ডার ব্যবহার করছেন না মানে? : ডি (স্রেফ মজা করছে।)

— ShdNx

@ ক্রিস্টফ - আমি অনুমান করছি তার অর্থ হ'ল শেষ ব্যবহারকারী সমস্ত ব্যবহারকারী এবং পাসওয়ার্ডের একটি তালিকা পান। :)

— ডন ব্রানসন

আমি নিখরচায় প্রক্রিয়া অংশ হিসাবে আমার পাসওয়ার্ড ফিরে ইমেল যে সিস্টেমগুলি ঘৃণা করি । এর দুটি ত্রুটি রয়েছে: ১. তারা আমার সিস্টেমে পাসওয়ার্ড তাদের সিস্টেমে কোথাও সংরক্ষণ করছে। যদি তাদের স্থায়ী ব্যবহারকারী ডাটাবেস না হয়, অবশ্যই তাদের নিবন্ধকরণ প্রক্রিয়াকরণ সিস্টেম। ২. এটি ইমেলের মাধ্যমে প্রেরণ করা হয়েছিল, হয় সরল পাঠ্য বা এইচটিএমএল, এসএমটিপি করে ইন্টারনেট জুড়ে মেল রিলে মাধ্যমে। মধ্যবর্তী মাঝখানে বেশ কয়েকটি পুরুষ রয়েছেন যা এটিকে আটকাতে পারে। খুব কমপক্ষে, আপনি যদি সুরক্ষিত তথ্য সহ আমাকে ইমেলগুলি প্রেরণের প্রয়োজন বোধ করেন তবে এটির এনক্রিপ্ট করার জন্য আমাকে আমার সর্বজনীন পিজিপি কী উল্লেখ করতে দিন!

— জেসি সি স্লিকার

আমি একবার ডেটাবেজে পাসওয়ার্ডগুলি সুরক্ষিত করতে MD5 হ্যাশ ব্যবহার করেছি। তবে আমি ফলাফলগুলি দৌড়ানোর পরেও যদিও একটি রংধনু টেবিল এবং প্রায় 50% পাসওয়ার্ডের সাথে মেলে ... আমি বুঝতে পেরেছিলাম যে লবণ যুক্ত করার জন্য এটি ভাল সময় time

— ম্যাথু 24:30

Answer 6

পুরানো আইবিএম সিস্টেম 36 বোবা টার্মিনালের একটি কীবোর্ড সংমিশ্রণ ছিল যা ম্যাক্রোর রেকর্ডিং শুরু করে। সুতরাং যখন কোনও টার্মিনাল লগইন করা হয়নি, আপনি ম্যাক্রোর রেকর্ডিং শুরু করতে এবং সেই অবস্থাতেই রেখে দিতে পারেন। পরের বার কেউ লগ ইন করলে, কীস্ট্রোক ম্যাক্রোতে রেকর্ড করা হবে এবং সর্বাধিক অনুমোদিত চাবি রেকর্ড করা হলে রেকর্ডিংটি স্বয়ংক্রিয়ভাবে শেষ হবে। ঠিক পরে ফিরে আসুন এবং ম্যাক্রোটিকে অটোলজ-ইন-এ পুনরায় খেলুন।

Answer 7

আমি দেখেছি সবচেয়ে খারাপ সুরক্ষা গর্তটি সত্যই আপনার দ্বারা কোডিং হয়েছিল এবং গুগল বটকে আমার সম্পূর্ণ ডাটাবেস মুছতে বাধ্য করেছিল।

আমি যখন প্রথম ক্লাসিক এএসপি শিখছিলাম তখন আমি আমার নিজস্ব বেসিক ব্লগ অ্যাপ্লিকেশনটি কোড করেছিলাম। সমস্ত প্রশাসক স্ক্রিপ্ট সহ ডিরেক্টরিটি আইআইএসে এনটিএলএম দ্বারা সুরক্ষিত ছিল। একদিন আমি একটি নতুন সার্ভারে চলে এসে আইআইএস (ওফস) -এ ডিরেক্টরিটি পুনরায় সুরক্ষা দিতে ভুলে গিয়েছি।

ব্লগের হোম পৃষ্ঠার মূল অ্যাডমিন স্ক্রিনের একটি লিঙ্ক ছিল এবং প্রধান অ্যাডমিন স্ক্রিনে প্রতিটি রেকর্ডের জন্য একটি মুছে ফেলা লিঙ্ক ছিল (কোনও নিশ্চিতকরণ ছাড়াই)।

একদিন আমি ডাটাবেসে মুছে ফেলা প্রতিটি রেকর্ড খুঁজে পেয়েছি (শত শত ব্যক্তিগত এন্ট্রি)। আমি ভেবেছিলাম কিছু পাঠক সাইটে প্রবেশ করেছে এবং প্রতিটি রেকর্ড দূষিতভাবে মুছে ফেলেছে।

লগগুলি থেকে আমি জানতে পেরেছিলাম: গুগল বট সাইটটি ক্রল করেছিল, অ্যাডমিন লিঙ্কটি অনুসরণ করেছিল এবং সমস্ত ডিলেট লিঙ্কগুলি অনুসরণ করে এগিয়ে চলেছে, যার ফলে ডাটাবেসের প্রতিটি রেকর্ড মুছে ফেলা হয়। আমি অনুভব করেছি যে গুগল বটের দ্বারা অজান্তেই সমঝোতা হবার জন্য আমি ডাম্বাস অফ দ্য ইয়ার পুরষ্কার প্রাপ্য।

ধন্যবাদ আমি ব্যাকআপ ছিল।

Comments

অনুমান করুন এটি কতটা সাধারণ ভুল তা দেখায়।

— si618

এজন্য ক্রিয়া পরিবর্তন করার জন্য আপনার সর্বদা পোস্ট করা উচিত।

— পুনরাবৃত্ত

@ রিসার্সিভ: সত্য, তবে ডিরেক্টরিটি যদি পাসওয়ার্ড-সুরক্ষিত না হয়, তবে এটি কোনও কিছু মুছে ফেলতে মানবকে থামায় না।

— অসন্তুষ্ট গোট

ব্রাউজার প্লাগইনগুলির সাথে আমার এই সমস্যা রয়েছে যা লিঙ্কগুলি প্রিফেক করে। আমি একবার একটি ব্লগিং সাইটের জন্য কাজ করেছি, এবং আমরা যখন কয়েকজন যুবক তার ব্লগে সমস্ত মন্তব্য রহস্যজনকভাবে বিলুপ্ত হয়ে গেছে বলে জানিয়েছিল তখন আমরা হতবাক হয়ে গেলাম।

— ম্যাথু

না, আপনি এই পুরষ্কার প্রাপ্য ছিল না। যদি এটি ঘটে থাকে এবং আপনার ব্যাকআপ না থাকে তবে আপনি এটি প্রাপ্য হতেন।

— রায়ান লুন্ডি

Answer 8

সবচেয়ে খারাপ ছিদ্রটি আমি কখনও দেখেছি এমন একটি ওয়েব অ্যাপ্লিকেশনটিতে একটি বাগ ছিল যেখানে খালি ব্যবহারকারীর নাম এবং পাসওয়ার্ড দেওয়া আপনাকে প্রশাসক হিসাবে লগ ইন করতে পারে :)

Comments

অলস বিকাশকারীদের জন্য কোনও বাগ বা একটি বৈশিষ্ট্য? :)

— si618

আমি এই ধরনের কোড দেখেছি। এটি সাধারণত কারণ "ব্যবহারকারী নির্বাচন করুন 'থেকে" নির্বাচন করুন [ব্যবহারকারী] যেখানে ব্যবহারকারীনাম একটি পছন্দ পছন্দ করেন সেখানে ব্যবহারকারী নাম'% "+ ব্যবহারকারীর নাম +"% "" পছন্দ করেন। এবং যেহেতু অ্যাডমিনিস্ট্রেটর সাধারণত ডাটাবেসের মধ্যে প্রথম ব্যবহারকারী, এটি সেই ব্যবহারকারীকে ফেরত দেয়।

— পিয়েরে-আলাইন ভিজিয়েন্ট

আপনি কেন একটি ব্যবহারকারীর নাম দিয়ে একটি লাইক করবেন? ... সুতরাং আমি অ্যাডম টাইপ করে অ্যাডমিন হতে পারি যখন আমি অ্যাডাম টাইপ করার পরামর্শ দিই না

— ম্যাথু হোয়াইট

বেশিরভাগ সংস্থাগুলি অ্যাকাউন্ট লক আউট করার আগে আপনাকে প্রদত্ত ইউজার-আইডির আওতায় লগ ইন করার জন্য তিনটি প্রচেষ্টা দেয়। সুতরাং তিনটি খারাপ পাসওয়ার্ড সহ কেউ এলিস অ্যাকাউন্ট লক আউট করা তুচ্ছভাবে সহজ ।

— ডেভিড আর ট্রাইবল

আমি এটি অনেকগুলি কর্পোরেট ওয়েব অ্যাপসে দেখেছি যা একটি এলডিএপি ডিরেক্টরিতে প্রমাণীকরণ করে। এলডিএপ-এ, খালি পাসওয়ার্ডের ফলে সফল বেনামে প্রবেশ করা যায়। বেনামে ব্যবহারকারীর পক্ষে অনেক কিছুই করা যায় না, তবে এই প্রক্রিয়াটি ব্যবহার করে ওয়েব অ্যাপস চেক করার মতো পরিমাণে যায় না - তারা কেবল "সাফল্য = সঠিক পাসওয়ার্ড" ধরে নেয়!

— সাইমনজে

Answer 9

এটি একবার কোনও ওয়েব সাইটের ইউআরএলে লক্ষ্য করা গেছে।

http://www.somewebsite.com/mypage.asp?param1=x&param2=y&admin=0

অ্যাডমিন = 1 এ সর্বশেষ প্যারামিটারটি পরিবর্তন করা আমাকে প্রশাসকের সুবিধাদি দিয়েছে। আপনি যদি অন্ধভাবে ব্যবহারকারী ইনপুটটিকে বিশ্বাস করতে চলেছেন তবে কমপক্ষে টেলিগ্রাফ করবেন না যে আপনি এটি করছেন!

Comments

এটি একটি সহজ বৈশিষ্ট্য;) আপনি কি ওয়ারগেমসটি দেখেন নি? "প্রতিটি ভাল বিকাশকারী তাদের সিস্টেমে একটি ব্যাকডোর যুক্ত করে" এমনটি কিছু।

— অ্যালেক্স

সুতরাং সম্ভবত তাদের & প্রশাসক =

— জোশুয়া

Answer 10

আমি এটি ডেইলি ডাব্লুটিএফ-তে দেখেছি ।

<script language="javascript">
<!--//
/*This Script allows people to enter by using a form that asks for a
UserID and Password*/
function pasuser(form) {
    if (form.id.value=="buyers") { 
        if (form.pass.value=="gov1996") {              
            location="http://officers.federalsuppliers.com/agents.html" 
        } else {
            alert("Invalid Password")
        }
    } else {  
        alert("Invalid UserID")
    }
}
//-->
</script>

কিছুই এই আইএমএইচওকে পরাস্ত করতে পারে না।

Comments

আমি মনে করি এটি আপনার যতটা বোকা তা মনে হয় না। এই তুচ্ছ পাসওয়ার্ডটি "হ্যাঁ, আমি ফেডারাল গভর্নামেন্ট থেকে এসেছি" বোতামটির মতো কাজ করতে পারি যে এই ব্যক্তি যে এটির অপব্যবহার করার চেষ্টা করে, যদি ধরা পড়ে তবে "মিথ্যা শংসাপত্র সরবরাহ করার" জন্যও তার বিরুদ্ধে মামলা করা যেতে পারে (বা তারা কীভাবে এটি ডাকবে? )

— ইলিয়া n।

ইলিয়া: এটি জাভাস্ক্রিপ্ট, তাই এটি ব্যবহারকারীর কাছে দৃশ্যমান। এটি দেখার পরে, আপনি কেবলমাত্র অফিসারদের কাছে যেতে পারেন ede ফেডেরালস্প্লিয়ার্স / এজেন্টস html, যে কোনও ধরনের নিয়ন্ত্রণকে বাইপাস করে।

— Alsciende

চিন্তা করবেন না, যতক্ষণ না ওয়েবসাইটটি কপিরাইটযুক্ত থাকে ততক্ষণ ডিএমসিএ 100% সুরক্ষা সরবরাহ করে। আপনাকে জাভাস্ক্রিপ্টটি "অবরুদ্ধ" করার অনুমতি নেই।

— স্টিভ হ্যানভ

@ স্টিভ হ্যানভ: আপনার "বিপর্যয়" সম্পর্কে একটি আকর্ষণীয় সংজ্ঞা আছে আমি যদি আমার ব্রাউজারে সেই ইউআরএলটি টাইপ করি ... বা এটি অনুলিপি / আটকানোও ... আমি কোনও কিছুকে বাইপাস করছি না, আমি কেবল নিজের ব্রাউজারটিতে যাচ্ছি আমি আমার ঠিকানা বারে একটি ঠিকানা রাখি। যা কোনও ওয়েব ব্রাউজারের উদ্দেশ্যে করা উদ্দেশ্য।

— পাওয়ারলর্ড

সংক্ষেপে, আপনি নির্দোষ, খুব খারাপ যে কোনও জুরিকে বোঝাতে 300k টাকা লাগবে

— ডাস্টিন গেটেজ

Answer 11

কোনও বিশ্ববিদ্যালয়ে, যা নামহীন থাকবে না, তাদের ফর্ম পোস্টের পরিবর্তে URL- এর মাধ্যমে তাদের সমস্ত ক্রিয়াকলাপটি পাস করা হয়েছিল।

গুগল বট উপস্থিত না হয়ে এবং তাদের সমস্ত ইউআরএল চালিয়ে এবং তাদের ডেটাবেস মুছে না দেওয়া পর্যন্ত এই জিনিসটি ব্যবহার করেছিল

Comments

ডিজাইন অনুসারে ভাল পুরাতন এসকিউএল ইঞ্জেকশন। আমি "বৈশিষ্ট্য" অন্তর্নিহিত যে কার্যকারিতা রিপোর্টিংয়ের সাথে কাজ করেছি।

— আইকোডফোর্ডকফি

@ আইকোডফোর্ডকফি: এসকিউএল ইঞ্জেকশনটি এখানে কোথায়? এটি কেবল জিইটি বনাম পোষ্টের উদ্দেশ্যগুলিকে বিভ্রান্ত করছে। এটি নবজাতক ওয়েব ডেভস দ্বারা একটি মোটামুটি সাধারণ ভুল। আমি এই সঠিক সমস্যাটি সম্পর্কে একটি ডেইলি ডব্লিউটিএফ নিবন্ধ পড়ে মনে করি all

— রোমেডোর

উইকিপিডিয়ায় যদি সমস্যা থাকে তবে খুব প্রাথমিক সংস্করণটি হয়নি? তাদের লিঙ্কগুলি ছিল যা সম্পাদনাগুলি বা অন্য কোনও কিছু ফিরিয়ে দেবে।

— অসন্তুষ্টগোট

এখানে আসল সমস্যা হ'ল গুগলবোট কখনও প্রমাণীকরণ ছাড়াই ডাটাবেস মুছতে পারে।

— মিফ দফক্স

আশা করি তারা গুগল ক্যাশে থেকে তাদের পুনরুদ্ধার করতে সক্ষম হয়েছিল।

— ফাস্টকোডাজভা

Answer 12

অবাক হয়ে কেউ সামাজিক প্রকৌশল চালু করেনি, তবে আমি এই নিবন্ধটি থেকে একটি কিক পেয়েছি ।

সংক্ষিপ্তসার: দূষিত ব্যবহারকারীরা কয়েক ডজন ফ্ল্যাশ ড্রাইভ কিনতে পারবেন, এটিকে একটি অটো চালিত ভাইরাস বা ট্রোজান দিয়ে লোড করতে পারেন, তারপরে গভীর রাতে একটি সংস্থার পার্কিংয়ে ফ্ল্যাশ ড্রাইভ ছিটান বলে জানান। পরের দিন, সবাই কাজ করার জন্য দেখায়, চকচকে, ক্যান্ডি-আকৃতির, অপরিবর্তনীয় হার্ডওয়ারের উপর হোঁচট খায় এবং নিজেদেরকে বলে "ওহ ওয়া, ফ্রি ফ্ল্যাশ ড্রাইভ, আমি এতে অবাক হয়েছি!" - 20 মিনিটের পরে পুরো সংস্থার নেটওয়ার্কটি হোজ্জিত।

Comments

অটোরুন মন্দ।

— মার্ক র্যানসম

@ এমমিয়ার্স: ফ্ল্যাশ ড্রাইভ নিষিদ্ধ করা ভাল পদ্ধতি নয়। অটোরুন / অটোপ্লেটি ভাঙ্গুন।

— জে

কিছুক্ষণ আগে পড়ুন, অন্য পদ্ধতির (ফ্লপি ডিস্কের সময় থেকে)। অফিসের করিডোরে "অ্যাকাউন্টিং ডেটা - গোপনীয়" লেবেলযুক্ত বুট সংক্রামিত ফ্লপি ডিস্কটি লাইভ করুন এবং 5 মিনিট অপেক্ষা করুন। প্রবল পরাক্রান্ত

— রদ্রিগো

ভাগ্যক্রমে, আমি সর্বদা একটি লিনাক্স লাইভ সিডি থেকে বুট আপ করতে এবং সেখান থেকে ফ্ল্যাশ ড্রাইভ পরীক্ষা করতে পারি।

— ডেভিড থর্নলি

@ জায়ে - দুর্ভাগ্যক্রমে, কত লোক ফাইলগুলির দিকে তাকিয়ে থাকবে এবং তারপরে "তারা কী করে" তা দেখার জন্য তাদের উপর ডাবল ক্লিক করুন? নিষিদ্ধকরণ অনেক সময় একটি প্রয়োজনীয়তা কারণ মানুষ মনে করে না।

— জ্যাসকাভ

Answer 13

"পেডো মেলন এ মিনো" , "বন্ধু বলুন এবং প্রবেশ করুন", মরিয়ার গেটে।

Comments

যেনে যে এলভিশ কথা বলে তাকে বিশ্বাস করা যায় না!

— আর্টিলিয়াস

xkcd.com/424

— লিলি চুং

Answer 14

মাইক্রোসফ্ট বব
(ক্রেডিট: ড্যানের 20 তম শতাব্দী Abandonware )

আপনি যদি তৃতীয়বার আপনার পাসওয়ার্ডটি ভুলভাবে প্রবেশ করেন, আপনি জিজ্ঞাসা করা হয় যে আপনি নিজের পাসওয়ার্ড ভুলে গেছেন কি না।

http://img132.yfrog.com/img132/8397/msbob10asignin15.gif

তবে সুরক্ষা না দেওয়ার পরিবর্তে সঠিক পাসওয়ার্ডটি প্রবেশ না করা অবধি চালিয়ে যাওয়া বা বেশ কয়েকটি ভুল প্রচেষ্টার পরেও আপনাকে লক আউট করার মতো, আপনি যে কোনও নতুন পাসওয়ার্ড প্রবেশ করতে পারবেন এবং এটি আসলটি প্রতিস্থাপন করবে! যে কেউ যে কোনও পাসওয়ার্ড "সুরক্ষিত" মাইক্রোসফ্ট বব অ্যাকাউন্ট দিয়ে এটি করতে পারে।

পূর্বের কোনও প্রমাণীকরণের প্রয়োজন নেই। তার অর্থ ইউজার 1 কেবল তিনবার তাদের পাসওয়ার্ডটি ভুল টাইপ করে চতুর্থবারের মতো একটি নতুন পাসওয়ার্ড প্রবেশ করিয়ে তাদের নিজস্ব পাসওয়ার্ড পরিবর্তন করতে পারে - "পাসওয়ার্ড পরিবর্তন করুন" ব্যবহার করতে হবে না।

এর অর্থ হ'ল ইউজার 1 ইউজার 2, ইউজার 3 এর পাসওয়ার্ডগুলি ঠিক একইভাবে পরিবর্তন করতে পারে। যে কোনও ব্যবহারকারীর অন্য কোনও ব্যবহারকারীর পাসওয়ার্ডটি তিনবার ভুল টাইপ করে তারপরে নতুন পাসওয়ার্ড প্রেরণের পরে পরিবর্তন করতে পারে - এবং তারপরে তারা অ্যাকাউন্টটি অ্যাক্সেস করতে পারে।

http://img132.yfrog.com/img132/9851/msbob10asignin16.gif

Comments

এটি কোনও উইন্ডোজের মতোই আচরণ যখন কোনও কম্পিউটার কোনও ডোমেন দ্বারা পরিচালিত হয় না। এমনকি উইন্ডোজ ভিস্তা আলটিমেটে আপনি যে কোনও সময় কোনও পাসওয়ার্ড পুনরায় সেট করতে পারেন। আমি অনুমান করছি যে অননুমোদিত-পরিষেবাটি অননুমোদিত অ্যাক্সেসের চেয়ে বড় হুমকি হিসাবে বিবেচিত হয়; বিশেষত যেহেতু আপনি যে কোনও উপায়ে ড্রাইভটিকে পুনরায় মাউন্ট করার মাধ্যমে বেশিরভাগ স্টাফ পেতে পারেন। আমি বিশ্বাস করি এই ক্ষেত্রে পাসওয়ার্ডের উদ্দেশ্য হ'ল প্রতিরোধের পরিবর্তে অনুপ্রবেশ সনাক্তকরণ ।

— জেফ্রি এল হুইলেটজ

@ জেফ্রি: জিনিসটি হ'ল, একবার কালো টুপি শারীরিক প্রবেশাধিকার পেলে এটি বেশ "গেম শেষ"। আপনি যদি এর থেকে রক্ষা করতে চান তবে আপনার গুরুতর এনক্রিপশন (পাশাপাশি হার্ডওয়্যার এবং সফ্টওয়্যার কীলগার ইত্যাদির জন্য স্ক্যান করার উপায়গুলি) দরকার need

— ডেভিড থর্নলি

আমার চেয়ে বুদ্ধিমান কেউ ইশারা করলেন এটি হ'ল ভাল হুমকি মডেলিং। 'বব' একটি নন-নেটওয়ার্ক যুগে বাড়িতে ব্যবহারের জন্য ছিল এবং আপনি চুরির চেয়ে আপনার ছোট বোন বা একটি হ্যাংওভারের চেয়ে একটি চেষ্টার ডস ভোগার ঝুঁকির বেশি সম্ভাবনা ছিল। বব আপনাকে জানাতে পারে যে আপনার অ্যাকাউন্ট অ্যাক্সেস করা হয়েছে (কারণ আপনার পুরানো পাসওয়ার্ড আর কাজ করে না) তবে আরও করার চেষ্টা করেন নি।

— 3:51

আমার স্ত্রী আমাকে কেবল এই দিকে তাকিয়ে দেখেছে ... তার: "ওরে আমার গোশ! এটি কী প্রোগ্রাম ?!" আমি: "... মাইক্রোসফ্ট বব?" তার: "আমি মাইক্রোসফ্ট ববকে ভালবাসতাম !" দীর্ঘশ্বাস ...

— টিম গুডম্যান

@ ক্রিশ্চিয়ানওয়াইমার - এমন এক ধরণের লোককে "প্যারাসুট" চিহ্নিত একটি ব্যাকপ্যাক দেওয়ার মতো শোনাচ্ছে যাতে তারা তাদের পিঠে একজনের অনুভূতিতে অভ্যস্ত হয়ে যায়, তবে তাদের না বলে সেখানে কোনও প্যারাসুট নেই।

— জনএফএক্স 21

Answer 15

আমার কাছে জো এক্স এর আগের বাড়ির ঠিকানা ছিল এবং একই শহরে তার নতুন বর্তমান ঠিকানাটি জানা দরকার ছিল, তবে তার সাথে যোগাযোগ করার কোনও উপায় ছিল না। আমি বুঝতে পেরেছিলাম যে তিনি মেল অর্ডার ক্যাটালগগুলির দৈনিক পাইলটি পেয়ে যাচ্ছেন, তাই আমি স্বেচ্ছায় 800 এর নম্বরে ফোন করলাম সি ক্যান্ডিজ (ভিক্টোরিয়ার সিক্রেট, বা সুইস কলোনি বা অন্য কোনও বড় মেলারের বিপরীতে):

আমি: "হাই, আমি জো এক্স I আমার মনে হয় আপনি আমার পুরানো ঠিকানা এবং আমার নতুন ঠিকানা উভয়ই আমাকে আপনার মেইলিং লিস্টে দুবার পেয়েছেন your আপনার কম্পিউটার আমাকে [পুরানো ঠিকানা] বা [নকল ঠিকানা] এ দেখায়? ? "

অপারেটর: "না, আমরা আপনাকে [নতুন ঠিকানায়] দেখাব।"

Comments

আহ, সামাজিক ইঞ্জিনিয়ারিং পছন্দ। সুরক্ষার মানুষের দিকটি সাধারণত দুর্বল।

— EMP

ইউকেতে আপনি একটি ফৌজদারি অপরাধের স্বীকৃতি দিয়েছেন - "তথ্য নিয়ন্ত্রকের সম্মতি ব্যতীত ব্যক্তিগত তথ্য বা তথ্য জেনে বা বেআইনীভাবে প্রাপ্ত বা প্রকাশ করা"

— ফ্লেক্সো

Answer 16

একটি পাঠ্যবক্সে 1 = 1 প্রদান করা সিস্টেমের সমস্ত ব্যবহারকারীদের তালিকাভুক্ত করে।

Comments

ববি টেবিল থেকে শুভেচ্ছা।

— গম্বো

@ গম্বোর মন্তব্য কীভাবে উত্তরের চেয়ে 4 গুণ বাড়ানো যাবে?

— মিথ্যা রায়ান

কেবল, প্রশ্ন উত্থাপিত লোকের চেয়ে 4 গুণ লোক তার মন্তব্যটি দিয়েছিল: /

— রবার্টপিট

ববি টেবিলের মন্তব্যের 221 আপ-ভোটারদের মধ্যে কেউ কি আমাদের বাকী অংশগুলিকে বলতে পারবেন যে ববি টেবিলগুলি কী?

— kirk.burleson

@ কিরক.বার্লসন: xkcd.com/327

— জিএসপিআর

Answer 17

জীবনযাত্রার জন্য অ্যাপ্লিকেশন সুরক্ষার পরামর্শদাতা হওয়ার মতো প্রচুর সাধারণ সমস্যা রয়েছে যা আপনাকে কোনও কিছুর মাধ্যমে কোনও ওয়েবসাইটে অ্যাডমিন পেতে দেয়। তবে সত্যিই দুর্দান্ত অংশটি হ'ল যখন আপনি এক মিলিয়ন ডলারের মোজা কিনতে পারেন।

এটি এই গিগের উপর কাজ করা আমার বন্ধু ছিল তবে এটির মর্মার্থটি হ'ল একটি নির্দিষ্ট জনপ্রিয় অনলাইন বইয়ের (এবং সমস্ত কিছু) শপের আইটেমগুলির জন্য দামগুলি একটি গোপন ক্ষেত্র হিসাবে এইচটিএমএলতে সঞ্চিত ছিল। প্রথমদিকে ফিরে এই বাগটি প্রচুর অনলাইন স্টোর বিট করে, তারা কেবল ওয়েবটি বের করতে শুরু করেছিল। খুব সামান্য সুরক্ষা সচেতনতা, আমি বলতে চাইছি কে সত্যিই এইচটিএমএল ডাউনলোড করতে চলেছে, লুকানো ক্ষেত্রটি সম্পাদনা করবে এবং আদেশটি পুনরায় জমা দেবে?

স্বাভাবিকভাবেই আমরা দামটি 0 তে পরিবর্তন করেছিলাম এবং 1 মিলিয়ন জোড়া মোজা অর্ডার করেছি। আপনি দামটিকে নেতিবাচক হিসাবেও পরিবর্তন করতে পারেন তবে এটি করার ফলে লেনদেনের সমাপ্তি তাদের ব্যাকএন্ড বিলিং সফ্টওয়্যার বাফার ওভারফ্লোতে পরিণত হয়েছিল।

আমি যদি অন্য কোনওটি বেছে নিতে পারি তবে এটি ওয়েব অ্যাপ্লিকেশনগুলিতে পাথ ক্যানোনিকালাইজেশন সমস্যা। Foo.com?file=../..//../../etc/passwd করতে সক্ষম হওয়ায় এটি দুর্দান্ত

Comments

আশ্চর্যজনক, আপনার আর কখনও নিখোঁজ বাম মোজা না থাকতে পারে!

— si618

আপনি কি কখনও মোজা পেয়েছেন?

— অ্যালেক্স বারেট 9

অর্ডারটি পেরে গিয়েছিল এবং সিদ্ধি ব্যবস্থা গুদামকে সতর্ক করে দিয়েছে। আমরা বুঝতে পেরেছি এটি সম্ভবত কাজ করেছে এবং আমাদের যোগাযোগের বিষয়টিকে জানিয়েছে যে তারা যাতে আদেশটি বন্ধ করে দেয়। স্পষ্টতই কিছুক্ষণ পরে একজন গুদাম পরিচালক তাকে সত্যই তা নিশ্চিত হওয়ার জন্য জিজ্ঞাসা করলেন। তিনি মনে মনে বুদ্ধিমান ছিলেন যে এটি একটি সফ্টওয়্যার ত্রুটি ছিল।

— কলিন 21

@ স্টুপার ইউজার, অবশ্যই আপনার পায়ে।

— স্ট্রাগার

স্টোরেজ নিয়ে কোনও সমস্যা নেই, কেবল 100,000 ড্রয়ার সেট সেট করার জন্য Ikea ওয়েবসাইট হ্যাক করুন

— নীল আইটকে

Answer 18

দুর্ঘটনাক্রমে উত্স নিয়ন্ত্রণে ডাটাবেস রুট পাসওয়ার্ড প্রতিশ্রুতিবদ্ধ। এটি বেশ খারাপ ছিল, কারণ এটি সোর্সফোজে সোর্স নিয়ন্ত্রণ ছিল।

খুব তাড়াতাড়ি পাসওয়ার্ড বদল হয়েছে তা বলা বাহুল্য।

Comments

ঠিক আছে, পাসওয়ার্ডটি খুব দ্রুত বদলে গেল ... তবে কার দ্বারা ?

— ইমন নারবোন

এই রাস্তা নিচে হয়েছে। অনেক সিস্টেমে (উদাহরণস্বরূপ জ্যাঙ্গো) এটিকে কার্যত উত্সাহিত করে, যেহেতু তারা আপনাকে আপনার ডিবি পাসওয়ার্ডটি সেটিংস ফাইলে রাখতে বলে, যা স্বাভাবিকভাবেই চেক ইন করা খুব সহজ

— mlissner

Answer 19

মূল আইটি কর্মীরা সংস্থাটি ছাড়লে প্রশাসক পাসওয়ার্ড পরিবর্তন করছেন না।

Comments

বা অ্যাডমিন / অ্যাডমিনের মতো কারখানার ডিফল্ট ছেড়ে যাওয়া (পাশাপাশি বা বিশেষত হার্ডওয়্যারে) ...

— Gnark

আমি এক খারাপ পেয়েছেন - আমি ডিরেক্টরি আমাকে বলছে তারা আমার জন্য একটি উচ্চ গ্রেড কাজ তৈরি হয়েছে পরে আমি স্নাতক করেছেন তাদের নিয়ে থাকার বরাবর অভিমানী হয়েছে পরে একটি বিশ্ববিদ্যালয় বাম, কিন্তু আমি পরে পাওয়া আউট তিনি আমার ম্যানেজার তারা বলেন না করতে আমাকে প্রচার করুন। বলা বাহুল্য, আমি এটি সম্পর্কে খুশি ছিলাম না। আমি আমার ম্যানেজারকে বিশেষভাবে বলেছি যে আমার প্রবেশাধিকারের প্রতিটি পাসওয়ার্ড পরিবর্তন করতে। আমি চলে যাওয়ার সপ্তাহ পরে, আমি আমার ম্যানেজারের মূল পাসওয়ার্ড সহ একটি ইমেল পাই, 'যদি আমার প্রয়োজন হয় তবে'। এটি আবার পরিবর্তন হয়েছে কিনা তা নিশ্চিত করার জন্য আমি সিসাদমিনের সাথে যোগাযোগ করেছি, কারণ কিছু ভুল হলে আমি পড়তে চাই না।

— জো

@ সোফোমোর: ফেনম্যানের জীবনীটিতে আমি তাকে স্মরণ করিয়ে দিয়েছিলাম যে ম্যানহাটনের প্রকল্পের গোপনীয় গোপনীয়তার অনেকগুলি বিশাল-সুরক্ষিত নিরাপদ ডিফল্ট সংমিশ্রণে রেখে গেছে।

— ব্রায়ান

আমি কেবল কোনও ইউএসএসআর গুপ্তচর নিরাপদে পৌঁছে সেফটিকে ফাটানোর জন্য যা কিছু ভাবতে পারে তার চেষ্টা করে দেখতে পারি, "জঘন্য! আমি এটি ক্র্যাক করতে পারি না I আমি যদি কেবল ... বাহ, স্কোর করতে পারতাম তবে মজার বিষয় হত না? মা রাশিয়ার জন্য! "

— এরিক

এটি পড়তে গিয়ে হাসতে পারছি না, আমি একটি গ্রীষ্মে একটি খুব পরিচিত সুদিয়েডিয়ান সংস্থায় আইটি টেকনিশিয়ান হিসাবে কাজ করছিলাম এবং যখন কয়েক বছর পরে ইঞ্জিনিয়ার হিসাবে কাজ করতে ফিরে এসেছিলাম তখন কিছু সফ্টওয়্যার ইনস্টল করতে আমার সমস্যা হয়েছিল। নীল থেকে আমি পুরানো অ্যাডমিনের পাসওয়ার্ডটি মনে রেখেছিলাম, এবং ভয়েলা! এটি কাজ করেছে =)

— ভিক্টর সেহর

Answer 20

যদিও এটি আমি দেখেছি সবচেয়ে খারাপ সুরক্ষা গর্ত নয়। তবে এটি আমি নিজেকে আবিষ্কার করেছি কমপক্ষে সবচেয়ে খারাপ:

অডিওবুকগুলির জন্য একটি দুর্দান্ত সফল অনলাইন শপ সফল প্রমাণীকরণের পরে বর্তমান ব্যবহারকারীর সনাক্তকরণ তথ্য সংরক্ষণ করতে একটি কুকি ব্যবহার করেছিল। তবে আপনি সহজেই কুকিতে ব্যবহারকারীর আইডি পরিবর্তন করতে এবং অন্যান্য অ্যাকাউন্টগুলিতে অ্যাক্সেস করতে এবং সেগুলিতে কিনতে পারেন।

Comments

বাহ ... আমার উত্তরাধিকার সূত্রে প্রাপ্ত একটি এএসপি কোডে আমার সাথে ঠিক ঘটনা ঘটেছে।

— Radu094

আমি এমন একটি অ্যাপ বজায় রাখছি যাতে এই সঠিক সমস্যা রয়েছে। এটি নিশ্চিত করার জন্য এটি ফিক্স তালিকার উপরে। ধন্যবাদ, এটি কোনও ইকমার্স সাইট নয়।

— কোয়ান্টিন-স্টারিন

বেশিরভাগ লোকেরা যতটা বুঝতে পারে তার চেয়ে প্রায়ই এটি ঘটে for

— নোটমি

Answer 21

.Com যুগের শুরুতে, আমি বিদেশে একটি বড় খুচরা বিক্রেতার জন্য কাজ করছিলাম। আমাদের প্রতিযোগীরা আমাদের কয়েক মাস আগে একটি অনলাইন স্টোর চালু করায় আমরা খুব আগ্রহের সাথে লক্ষ্য করেছি। অবশ্যই, আমরা এটি চেষ্টা করে গিয়েছিলাম ... এবং দ্রুত বুঝতে পেরেছিলাম যে আমাদের শপিং কার্টগুলি মিশে যাচ্ছে। ক্যোরি স্ট্রিংটি কিছুটা খেলে আমরা বুঝতে পেরেছি যে আমরা একে অপরের সেশন হাইজ্যাক করতে পারি। ভাল সময় সহ, আপনি ডেলিভারি ঠিকানা পরিবর্তন করতে পারেন তবে অর্থ প্রদানের পদ্ধতিটি একা ছেড়ে দিতে পারেন ... আপনার পছন্দের আইটেমগুলিতে কার্টটি পূরণ করার পরে।

Comments

অবশ্যই, এর অর্থ হ'ল আপনি যদি সত্যিই এটি করেন তবে আপনি তাদের কাছে প্রতারণামূলকভাবে পণ্যদ্রব্য প্রেরণ করার জন্য তাদের দূতভাবে কিছু করেছেন এবং আপনার ঠিকানা "তাদের" বলেছেন told

— ডেভিড থর্নলি 25:25

হ্যাঁ, এটি এটিকেই একটি প্রধান সুরক্ষা গর্ত করে তোলে। আমরা আসলে কেনার বোতামটি টিপলাম না, তবে আমরা পেতে পারি। এবং, সংবাদ প্রতিবেদনের ভিত্তিতে কিছু লোক তা করেছে did

— এরিক জে।

Answer 22

আমি বর্তমানে যে সংস্থায় কাজ করি সেখানে প্রথম যখন যোগদান করি, তখন আমার বস সম্ভাব্য নতুন ক্লায়েন্টের বিদ্যমান ই-কমার্স ওয়েবসাইটটি দেখছিলেন। এটি আইআইএস এবং ই-কমার্স উভয়েরই প্রথম দিকে ছিল, এবং সুরক্ষা ছিল, আমরা কি বলব, কঠোর চেয়ে কম less

দীর্ঘ গল্পের ছোট গল্পটি কাটাতে, তিনি একটি ইউআরএল পরিবর্তন করেছেন (কৌতূহলের বাইরে), এবং বুঝতে পেরেছিলেন যে ডিরেক্টরি ব্রাউজিং বন্ধ করা হয়নি, তাই আপনি কেবলমাত্র URL নামটির শেষে পৃষ্ঠার নামটি কেটে ফেলতে পারবেন এবং সমস্ত ফাইল দেখতে পাবেন ওয়েব সার্ভার.

আমরা ডাউনলোড করেছি এমন অ্যাক্সেস ডাটাবেসযুক্ত ফোল্ডারটি শেষ করেছিলাম। এটি ছিল পুরো ই-কমার্স গ্রাহক / অর্ডার ডাটাবেস, কয়েক হাজার এনক্রিপ্ট করা ক্রেডিট কার্ড নম্বর দিয়ে পুনরায় পূরণ করুন।

Comments

এটি প্রায় বারো বছর আগে, যখন ডেটা-দ্বারা চালিত ওয়েবসাইটগুলি একটি নতুন বিষয় ছিল; অনেকগুলি সাইট অ্যাক্সেস বা অনুরূপের বিরুদ্ধে চলেছিল, কারণ কেউই তাদের মূল ব্যবসায়ের জন্য 'সরাইয়া' হিসাবে দেখা যায় এমন কোনও কিছুর জন্য এসকিউএল সার্ভার লাইসেন্সে বিনিয়োগ করতে চায়নি। কীভাবে পরিবর্তন হয়েছে!

— মার্ক বেল

Answer 23

মানুষ পোস্টিং তাদের পাসওয়ার্ডগুলি উপর প্রকাশ্য ওয়েবসাইট ...

Comments

চমৎকার স্পর্শ উপার্জন ...পাশাপাশি একটি লিঙ্ক: P

— বিপরীতমুখী

"2811A কনসোল পাসওয়ার্ড: প্রিন্সেসলিয়া" এটি আমার প্রিয় ছিল।

— মিঃজান্ডার ২২ শে

Answer 24

যখন আমি 13 বছর বয়সী তখন আমার স্কুল শিক্ষার্থীদের জন্য একটি সামাজিক নেটওয়ার্ক খোলে। দুর্ভাগ্যক্রমে তাদের জন্য আমি একটি সুরক্ষা বাগ পেয়েছি যেখানে আপনি "? ইউজারআইডি = 123" এর মতো অন্য ইউআইডি-তে ইউআরআই পরিবর্তন করতে এবং সেই ব্যবহারকারীর জন্য লগ ইন করতে পারেন। স্পষ্টতই আমি আমার বন্ধুদের জানিয়েছিলাম এবং শেষ পর্যন্ত স্কুলগুলির সোশ্যাল নেটওয়ার্কগুলি পর্নো দ্বারা পরিপূর্ণ হয়েছিল।

যদিও এটি সুপারিশ করবে না।

Comments

আপনি কেন এটি সুপারিশ করবেন না? কি হলো?

— সাইমন_ ওয়েভার

@ সিমন_উইভার: আমার ধারণা 13 বছর বয়সের বাচ্চাদের সাধারণত পর্ন পছন্দ হয় না।

— slacker

@ স্ল্যাকার +1 এ আপনাকে 1000 রেপ! আমি মনে করি না যে রেটিং মন্তব্যগুলি আপনাকে উত্তর দেয় :-(

— সাইমন_উইভার

"অশ্লীল জন্য ভাল স্বাদ" - একটি অক্সিমারন আছে।

— জ্যান অ্যান্ডারসন

Answer 25

আমি মনে করি সুপারজার অ্যাক্সেসের জন্য ফাঁকা ব্যবহারকারীর নাম / পাসওয়ার্ড ক্ষেত্রটি এখন পর্যন্ত সবচেয়ে খারাপ। তবে আমি নিজেই একজনকে দেখেছি

if (password.equals(requestpassword) || username.equals(requestusername))
{
    login = true;
}

খুব খারাপ একজন অপারেটর এত বড় পার্থক্য করে।

Comments

বাহ, আমার স্বাভাবিকভাবেই এটি ঠিক করার বাধ্যবাধকতা রয়েছে

— wag2639

হ্যাশের পরিবর্তে সত্যিকারের পাসওয়ার্ড ব্যবহার করা হ'ল এটিও খারাপ ... ...

— পিটার ক্রিয়েন্স

প্রথমে আমি "কি হয়েছে?", এবং তারপরে আমি "এএএএএএএএএএএএএএএ! ওএমজি" ছিলাম

— বোজন কোগোজ

Answer 26

আমার যে ব্যাংকের গ্রাহক ছিল তার জন্য খনি হবে। আমি লগ ইন করতে পারিনি, তাই আমি গ্রাহক পরিষেবাটি কল করেছি। তারা আমাকে আমার ব্যবহারকারীর নাম এবং অন্য কিছু চেয়েছিল - কোনও সুরক্ষা প্রশ্ন জিজ্ঞাসা করেনি বা আমার পরিচয় যাচাই করার চেষ্টা করেনি। তারপরে তারা ফাইলটিতে থাকা ইমেল ঠিকানায় পাসওয়ার্ড পুনরায় সেট করার পরিবর্তে আমাকে জিজ্ঞাসা করল যে এটিতে কী ইমেল ঠিকানা প্রেরণ করা হবে। আমি ফাইলে যা ছিলাম তার চেয়ে আলাদা তাদের ঠিকানা দিয়েছিলাম এবং আমার পাসওয়ার্ডটি পুনরায় সেট করতে সক্ষম হয়েছি।

সুতরাং মূলত, সমস্ত হ্যাকারের প্রয়োজন আমার ব্যবহারকারীর নাম এবং সে তারপরে আমার অ্যাকাউন্টটি অ্যাক্সেস করতে পারে। এটি ছিল এমন একটি বড় ব্যাংকের জন্য যা মার্কিন যুক্তরাষ্ট্রে কমপক্ষে 90% লোক শুনেছিল। প্রায় দুই বছর আগে এটি ঘটেছিল happened আমি জানি না এটি কোনও দুর্বল প্রশিক্ষিত গ্রাহক পরিষেবা প্রতিনিধি ছিল বা তা যদি মানক পদ্ধতি ছিল।

Comments

দয়া করে এটি কোন ব্যাংক?

— টাইগারটাইগার

@ এসআই: এটি লিখেছে 'আমি একজন গ্রাহক ছিল ...'। আমি মনে করি যে প্রশ্নের উত্তর। :)

— ShdNx

এটি ছিল ওয়াশিংটন মিউচুয়াল, যা এফডিআইসি দ্বারা দখল করা হয়েছিল এবং এই বছরের গোড়ার দিকে চেইসে বিক্রি হয়েছিল। তাদের অদ্ভুত ত্রুটি বার্তাও ছিল। আমি যখন পাসওয়ার্ডটি অস্থায়ীভাবে সেট করার চেষ্টা করি তখন আমি একটি "পাসওয়ার্ড মেলে না" ত্রুটিটি পেতে থাকি, যদিও সেগুলি একই ছিল এবং আমি এমনকি অনুলিপি / আটকানোও করেছি। আমি বুঝতে পেরেছি যে আমি যদি অবৈধ অক্ষর বলার পরিবর্তে ফরোয়ার্ড স্ল্যাশের মতো "অবৈধ অক্ষরগুলি" রাখি তবে এটি আমাকে অন্য বার্তাটি দেবে।

— শান

@ এলিজাবেথ: আহ ... আপনি বুঝতে পেরেছেন যে এটি ঠিক ফিশিং প্রতিরোধ করা? যদি কেউ ব্যাঙ্কের ওয়েবসাইটটি অনুলিপি করতে বা নকল করার চেষ্টা করে তবে এটি দেখতে একই রকম হতে পারে তবে সম্ভবত তারা ডাটাবেসে অ্যাক্সেস পায় না, তাই তারা সঠিক সুরক্ষা চিত্রটি টানতে পারে না। সে কারণেই সেখানে। সমস্ত ব্যবহারকারী

— শংসাপত্রটি

আপনার আর্থিক অ্যাকাউন্টগুলি রক্ষা করা কি ওভারকিল হয়? ...

— জো ফিলিপস

Answer 27

আমি আমার তৈরি একটি ভাগ করব। ধরনের।

বছর এবং বছর এবং বছর আগে আমি যে সংস্থাটির জন্য কাজ করছিলাম তাদের এএসপি ওয়েব সাইটে ইন্ডেক্স করতে চেয়েছিলাম। তাই আমি গিয়েছিলাম এবং সূচি সার্ভার সেট আপ করেছি, কয়েকটি অ্যাডমিন ডিরেক্টরি বাদ দিয়েছি এবং সবই ভাল ছিল।

তবে আমার কাছে অজানা কেউ একজন বিক্রয়কর্তাকে ওয়েব সার্ভারে ftp অ্যাক্সেস দিয়েছিল যাতে সে বাড়ি থেকে কাজ করতে পারে, ডায়ালআপের দিনগুলি ছিল এবং এটি তার পক্ষে ফাইলগুলি অদলবদল করার সবচেয়ে সহজ উপায় .... এবং তিনি জিনিসগুলি আপলোড করা শুরু করেছিলেন, আমাদের পরিষেবাগুলিতে মার্কআপ সম্পর্কিত বিশদ নথি সহ .... যে সূচকটি সার্ভার সূচিবদ্ধ করে এবং লোকেরা "ব্যয়" সন্ধান করার সময় পরিবেশন শুরু করে।

বাচ্চাদের মনে রাখবেন, হোয়াইটলিস্টগুলি কালো তালিকাভুক্ত নয়।

Comments

আমি মনে করি "হোয়াইটলিস্টগুলি ব্ল্যাকলিস্ট নয়", যদিও প্রায়শই ভাল পরামর্শ দেওয়া হয় তবে এখানে শেখার সঠিক পাঠ নয়। সঠিক পাঠটি হ'ল "পাবলিক সার্ভারে ব্যক্তিগত ডেটা রাখবেন না"। এছাড়াও, "বিক্রয় লোকদের সার্ভার অ্যাক্সেস করতে দেবেন না"।

— রোমেডোর

ওহ, উত্তর এবং অবতারের মধ্যে সাদৃশ্য।

— ğağdaş টেকিন

Answer 28

সবচেয়ে সহজ, তবুও সত্যই মূল্য ব্যয় হ'ল:

পেমেন্ট সিস্টেম যেমন ব্যবহার ইঞ্জিন যে পেপ্যাল ত্রুটিপূর্ণ যাবে না কারণ পেমেন্ট পরে পেপ্যাল প্রতিক্রিয়াতে ফিরে সফল চেক করা নেই ছিল হিসাবে এটি হওয়া উচিত।

উদাহরণ স্বরূপ:

আমি কয়েকটি সিডি ক্রয়ের ওয়েবসাইটে যেতে পারি এবং কার্টে কিছু সামগ্রী যুক্ত করতে পারি, তারপরে চেকআউটের পর্যায়ে সাধারণত পৃষ্ঠায় একটি ফর্ম থাকে যা পেপালের জন্য ক্ষেত্রের সাথে জনবহুল হয়ে থাকে এবং "পে" তে জমা দেওয়ার বোতামটি থাকে ..

একটি ডিওএম সম্পাদক ব্যবহার করে আমি "লাইভ" ফর্মটিতে যেতে এবং মানটি থেকে পরিবর্তন £899.00করতে £0.01এবং তারপরে জমাতে ক্লিক করতে পারি ...

আমি যখন পেপাল জিনিসগুলিতে থাকি তখন আমি দেখতে পাই যে পরিমাণটি 1 পয়সা, তাই আমি এই অর্থ প্রদান করি এবং পেপাল প্রাথমিক ক্রয়ের সাইটে কিছু পরামিতি পুনঃনির্দেশ করে, যারা কেবলমাত্র payment_status=1ইত্যাদি ইত্যাদি পরামিতিগুলিকে বৈধতা দেয় এবং না করে প্রদত্ত পরিমাণকে বৈধতা দিন।

যদি তাদের জায়গায় পর্যাপ্ত লগিং না থাকে বা পণ্যগুলি স্বয়ংক্রিয়ভাবে প্রেরণ করা হয় তবে এটি ব্যয়বহুল হতে পারে।

সবচেয়ে খারাপ ধরণের সাইটগুলি এমন অ্যাপ্লিকেশন, সফ্টওয়্যার, সংগীত ইত্যাদি সরবরাহ করে sites

Comments

+1 সম্মত। হোস্ট পেমেন্ট পৃষ্ঠার পরিস্থিতিতে উত্সাহিত ওয়েবসাইটটি ব্যবহারকারীকে মূল্য পোস্ট করার অনুমতি দেওয়া উচিত নয়; পরিবর্তে পৃষ্ঠাটি ব্যবহারকারীর ক্লিকের ভিত্তিতে নিজের কাছে ফিরে পোস্ট করা উচিত এবং তারপরে সার্ভারটি উপযুক্ত মান সহ পেমেন্ট "গেটওয়ে" তে একটি পোস্ট প্রস্তুত করে প্রেরণ করবে। এটি সমস্ত গেটওয়েটি কী প্রত্যাশা করে এবং এর সাথে কীভাবে মিথস্ক্রিয়া করা যায় তার উপর নির্ভর করে, তবে আপনি যে বর্ণনা করেছেন তার চেয়ে বেশি সুরক্ষিত দৃশ্যের তুলনায় আমি কোনও গেটওয়ে দেখতে পাচ্ছি না যে এটির লবণের মূল্য বেশি। যদিও আমি ভুল করছি।

— জন কে

আপনি সার্ভার সাইডের মাধ্যমে পোস্টের অনুরোধটির নকল করতে পারেন সুতরাং গেটওয়েতে যে তথ্য প্রেরণ করা হচ্ছে তা হ'ল তা নিশ্চিত করতে পারেন এবং তারপরে লোকেশন শিরোনাম দিয়ে পুনর্নির্দেশ করতে পারেন।

— রবার্ট পিট

পেপালের একটি এনক্রিপশন বিকল্প রয়েছে যা সাইটটিকে এটি প্রতিরোধ করে। সাইটটি প্রথমে নিজের কাছে ডেটা পোস্ট করে, অর্ডার ডেটা সার্ভার-সাইডটি কেবল তাদের এবং পেপাল হিসাবে পরিচিত একটি কী দ্বারা এনক্রিপ্ট করে এবং তারপরে সেই ডেটা পেপালের কাছে প্রেরণ করে যারা এটি ডিক্রিপ্ট করে। বিনা এনক্রিপ্ট করা অর্ডার ডেটা ফর্ম ফিল্ডগুলিতে সেভাবে কখনও পাঠানো হয় না। এটি কেবলমাত্র একটি বিকল্প, সুতরাং পেপাল ব্যবহার করে প্রতিটি সাইট সেভাবে এটি করে না। তারা যদিও করা উচিত!

— মাইকেল

Answer 29

কোনও অনলাইন ডকুমেন্ট ম্যানেজার সম্পর্কে, যা আপনার মনে রাখতে পারে এমন প্রতিটি সুরক্ষা অনুমতি সেট করার অনুমতি দেয় ...

এটি ডাউনলোড পাতায় না আসা পর্যন্ত ... ডাউনলোড.aspx? নথিআইডি = 12345

হ্যাঁ, ডকুমেন্টআইডটি ছিল ডাটাবেস আইডি (অটো-ইনক্রিমেন্ট) এবং আপনি প্রতিটি একক সংখ্যা লুপ করতে পারেন এবং যে কেউ কোম্পানির সমস্ত নথি পেতে পারে।

এই সমস্যার জন্য যখন সতর্ক করা হয়েছিল তখন প্রকল্প পরিচালকের প্রতিক্রিয়া ছিল: ঠিক আছে, ধন্যবাদ। তবে এর আগে কেউ তা খেয়াল করেনি, সুতরাং এটি যেমন হয় তেমন রাখি।

Comments

আমি সত্যিই সেই মনোভাবটিকে ঘৃণা করি, কয়েকবার পেয়েছি। আমাকে কেবল একটি পাঠ শেখানোর জন্য অন্যকে এটি করতে দেয় তা আমাকে তোলে।

— syaz

অবশেষে আমার শেষ কাজটিতে এইরকম একটি গর্ত পূরণ করার লক্ষ্যে ... কয়েক মাস পরে অভিযোগ করার পরে।

— চোখের পলকহীনতা

ওয়েবসাইটগুলি সন্ধান করা এটি অস্বাভাবিক নয় যে আপনাকে এটি করতে দেয়। আপনি সাম্প্রতিক বা আর্কাইভ করা নিবন্ধগুলির একটি ডিরেক্টরি দেখতে পাবেন তবে লগ ইন না করে তালিকায় পৃষ্ঠায় বা দুটি পৃষ্ঠার চেয়ে বেশি পিছনে ফিরে যেতে পারবেন না Just নম্বর আপনি যে কোনও নিবন্ধ দেখতে চান।

— বব-দ্য ডেস্ট্রয়ার

এটির একটি দুর্দান্ত উদাহরণ এখানে। এই এনওয়াই টাইমসের নিবন্ধে: nytimes.com/2009/01/14/Dining/14power.html?_r=1&ref= দেখানো চিত্রটিকে ডাইনিং করা আরও অনেক আনন্দের মূল সংস্করণের প্রতিস্থাপন, এটি এখনও এখানে উপলভ্য: গ্রাফিক্স

— images/2009/01/

Answer 30

একটি নরওয়েজিয়ান পিজ্জা ডেলিভারির একটি সুরক্ষা গর্ত ছিল যেখানে আপনি তাদের নতুন এবং চকচকে ইন্টারনেট পোর্টালে নেতিবাচক পরিমাণে পিজ্জা অর্ডার করতে পারেন এবং সেগুলি বিনামূল্যে পান।

Comments

অন্য সুরক্ষা ছিদ্র কর্মীরা, তাই না? "আচ্ছা স্যার, কম্পিউটার বলছে আপনি নিখরচায় ১৫ টি পিজ্জা পান, তাই ... আপনি এখানে যান! ... আমি কি টিপস পাই?"

— নাথান লং

... তোমার পিজ্জার জায়গা ডিভিডিও দেয়? ওও

— এমপেন

প্রাক্তন পিজ্জা ড্রাইভার হিসাবে ... না, আমরা এই জাতীয় জিনিস সম্পর্কে একটি ইঁদুর গাধা দেয় নি। এবং উভয়ই আমাদের পরিচালকরা করেননি।

— চোখের পলকহীনতা

আপনি যে পিজ্জা বিক্রি করছেন তা সংগ্রহ করার জন্য কি ডেলিভারি লোকটি আসবে না?

— জন বি

বাহ .. এবং ডেলিভারি লোকটি আপনাকে টিপস দিতে হয়েছিল? =))

— আন্দ্রে রেনিয়া