深入黑客内心世界　像黑客一样思考问题

应用级别的漏洞并不新鲜。2002年，Poteet赢得了第四界eWEEK's OpenHack竞赛，在这个竞赛中参赛者被邀请攻击电子商务试验网站。Poteet那时已经攻击了一个捆绑于Oracle数据库应用版本的网站。

基本上，Poteet攻击的这个漏洞是一个可以让用户编辑个人资料的界面。

用户名域估计是不可编辑的。但只要前端接受了输入，同时WEB服务器从一个浏览器接收了数据，那么用户名域是不是可编辑的就不重要了——到了这一步，所有东西都可编辑了。

Poteet把用户名域中的名字改成"A Smith"，然后他就象一只蜘蛛等待潜逃一样伺机行动。只要一个叫做"A Smith"的用户名登陆了，他便发起突袭，迅速进入并获取用户A Smith的所有数据。

问题是，在Openhack期间大部分应用开发商不重视Poteet的做法。Poteet说他已经与很多公司协商过，重要的不是看到漏洞无处不在，而是在所有域的所有界面和所有应用程序中都存在这种易于攻击的漏洞。

而且我们谈论的不是小夫妻店—Poteet的大部分客户是财富500强公司，其中很多是金融机构。但是，即使是在这些金融领域的大型机构中—它们都是以在安全问题方面专业精通和经验丰富而闻名—这些数字领域的专家仍然留出了大量有名的安全漏洞，吸引攻击者像苍蝇追着蜜糖一样蜂拥而至。

骗我一次…