tito Memo(2011-12-30)

2011-12-30

* ひどい通販サイト

初期パスワードをメールの添付の暗号化pdfで送ってくる。そのパスワードが誕生日。ローカルファイルでは繰り返し攻撃か可能だから誕生日ってメールに書いてあったら、短時間で容易にパスワードを発見できてしまう。
とりあえずログインしてパスワードを変更すると500番のエラーでjavaのスタックトレースが表示される。
再度ログインするにはいったんブラウザを閉じて(セッションを切って)やらないとログインURLさえ500番エラー。
注文履歴を表示するURLにパラメタとして顧客番号(らしきもの)が含まれている。ログインしてるんだから要らなくない? ここ書き換えたらどうなるの?
領収書をpdfで発行するんだけどダウンロードのファイル名が"nullNNNNN.pdf"。nullって何ぞ！
NNNNNは数字なんだけれど、どうも発行の度に(おなじ注文に関する領収書でも)数が変わる。というか単調増加みたい。+1ずつじゃないんだけれど、これもダウンロードのURL書き換えてリクエストしたらどうなるの? 他人のが見えたりしないよね。
注文の一覧画面でカラムの説明に公開日ってあるけれど、別に公開してるわけじゃぁない。発行日でしょう。
ウィンドウの閉じるって書いてあるリンクの背景画像が"←"。
htmlコメントが愉快

[]

このページ内のリンクがクリックされたことを知るのにjavascriptを使用しています。javascriptを無効にするとあなたがどのリンクをクリックしたか通知されなくなります。javascriptを無効にしてもこのページの閲覧に問題はありません。javascriptを無効にするページもご覧ください。