О том, как народ не учится на ошибках.

[win32asm]

Начало истории тут:
"So you hacked our site!" - вкратце, там в яваскрипте напрямую проверялись логин и пароль, и происходил переход на там же вписанную страницу.

Описанные ссылки они закрыли, сайт переделали...

Теперь идём на http://www.federalsuppliers.com/ и тыкаемся в "Agent Login". Вроде бы напрямую там ничего нет, даже в исходном коде. Хотя

Comments

[magisterbes]

хыхыхы =) ты заинтересовался Вебом?

Да нет,

[win32asm]

это скорее "общечеловеческие" общекомпьютерные нормы безопасности...
Тем более - если ты читал ссылку на ДейлиВТФе - они там очень трепетно отнеслись к "взлому". 8-)

[tseymour]

я тебе больше скажу:
Пароль надо проверять только на стороне сервера, причем сверять не две строки, а два хэша. Хэш пароля, полученного от пользователя генерится на стороне сервера, хэш сохраненного пароля генерится один раз и хранится вместо пароля, сам пароль нигде не хранится. Все страницы, имеющие зависимость от уровня доступа - перегенерируют айдишник сессии и заново обращаются к БД, чтобы удостовериться, имеет ли пользователь все те же права, какие он имел минуту назад. Ну и т. д...

Ну э.

[win32asm]

Да там вообще-то можно было пароль отчекать тем же способом - проверить, существует ли файл - только сделать это на сервере.
И уж совсем лишним было добавлять переменную с "говорящим" содержимым, которая к тому же нигде не используется. 8-)