SAS
新闻网站中报道的往往是导致大规模复杂事件的各种计算机错误和漏洞，比如去年的席卷全球的WannaCry和NotPetya攻击。但专家们都知道，最成功的黑客攻击和破解常常源于系统开发人员或安装人员所犯的最基本的错误。
配置不当的系统比比皆是。从黑客初初发现这样的系统到运用”智慧”攻克只要短短几个小时时间。以色列研究员Inbar Raz在2018安全分析师峰会上举了许多这样的例子来证明这一事实情况，真是令人悲伤的现实。
免费咖啡
许多咖啡店发出的会员卡采用的是以下工作原理：客户收到一张卡，像使用银行卡一样对其充值，然后用来在咖啡店消费，通过大量或频繁购买来赚取积分。客户可以在咖啡连锁店的网站上输入卡号来检查卡内余额。
Inbar Raz就持有这样的卡，他发现在门店网站上允许用户检查任意数量的卡。因此，Raz花了半小时编写了一个小程序，用来详细检查了一批不同的卡号，结果发现了许多充有大笔金额的卡号。
接着，Raz用一台非常便宜的USB读卡器来读取自己卡上的磁条，他发现卡号会以未加密的形式写入卡中，唯一的安全措施是一个控制位，而这个是很容易计算出来的。用上一步中找到的其中一个卡号替换卡片磁条上的号码后，使用他人卡中的钱简直就是小儿科。
具有道德意识的Raz在实践中证明了上述做法是可行的：他去买了另一张会员卡，然后把其编号写入第一张卡中。真的有效。当然，理论上，眼光锐利的咖啡店员工仍然可以通过核对卡上印刷的编号和收据上的编号来发现这种欺骗行为。但实际上不会有人这样做。所以，黑客基本上可以获取无限的免费咖啡 – 或许还会配一块松饼
优步式追踪
不久前，优步公司身陷员工滥用移动应用追踪有名望乘客的丑闻。
事实证明，其他出租车服务也可以做到这一点，而且不必麻烦成为他们的员工。Inbar Raz发现，在线预订出租车时，可以使用联系电话号码来追踪车的状态 – 这和免费咖啡的情况一样，没有任何针对暴力搜索的保护措施。
Raz写了一个号码破解小程序，利用手边的地图就能显示该服务最近所有的出租车订单的地址。
机场（不）安全
标准的免费Wi-Fi无线网络有时会深藏着意外。在一座东欧机场的贵宾室里，Inbar Raz决定检查一下本地接入点的配置。
他发现，路由器设置可以通过标准网址打开，不需要管理员密码。Raz研究了这些设置之后，发现这不仅仅是一个访客接入点，也是机场主路由器以及重要调度和安全系统的接入点。任何人使用笔记本电脑甚至是智能手机就能禁用这些服务。
程序员和系统管理员请务必注意。不要以为黑客绝不会注意到你的小咖啡馆（或者出租车服务或机场）。标准设置、像”admin”或”12345″这样的简单密码，以及没有CAPTCHA或其他对抗自动攻击的措施，这些都是最常见的安全失误，也是入侵者的攻击捷径。就算是水平不高的黑客也能利用这些失误进行攻击。而像Inbar Raz这样的人 – 能以负责任的态度向你披露漏洞而不是为了自身利益而利用漏洞的人 – 可并不多见。
提示