tito Memo

* ひどい通販サイト

• 初期パスワードをメールの添付の暗号化pdfで送ってくる。そのパスワードが誕生日。ローカルファイルでは繰り返し攻撃か可能だから誕生日ってメールに書いてあったら、短時間で容易にパスワードを発見できてしまう。
• とりあえずログインしてパスワードを変更すると500番のエラーでjavaのスタックトレースが表示される。
• 再度ログインするにはいったんブラウザを閉じて(セッションを切って)やらないとログインURLさえ500番エラー。
• 注文履歴を表示するURLにパラメタとして顧客番号(らしきもの)が含まれている。ログインしてるんだから要らなくない? ここ書き換えたらどうなるの?
• 領収書をpdfで発行するんだけどダウンロードのファイル名が"nullNNNNN.pdf"。nullって何ぞ！
• NNNNNは数字なんだけれど、どうも発行の度に(おなじ注文に関する領収書でも)数が変わる。というか単調増加みたい。+1ずつじゃないんだけれど、これもダウンロードのURL書き換えてリクエストしたらどうなるの? 他人のが見えたりしないよね。
• 注文の一覧画面でカラムの説明に公開日ってあるけれど、別に公開してるわけじゃぁない。発行日でしょう。
• ウィンドウの閉じるって書いてあるリンクの背景画像が"←"。
• htmlコメントが愉快