http://blog.csdn.net/networkcrazy
今天在在登錄CSDN博客的時候，無意間輸錯了用戶名，經過反覆試驗，發現了兩個編程不嚴密的地方。
1、探測用戶名BUG。當我們輸入了不存在的用戶名和密碼時，它確彈出如下提示，如圖1
圖1
這條信息對暴力破解十分有用，一下子就我們探測到了某個用戶不存在。
然後，當我們入正確的用戶名和錯誤的密碼時，它確彈出如下提示，如圖2
圖2
這樣一來，我們就一下子知道了某個用戶的存在。接下來就是破解密碼了。。。
2 驗證碼不刷新BUG。一亙我們和登錄BLOG頁面建軍立了一次TCP HTTP連接後，在這個連接斷開之前，它的驗證是不會改變的。也就是說，當我們進行暴力破解時，驗證碼就形同虛設，我們輸入了錯誤的密碼，只是給出了“密碼或賬號不正確”提示，我們再後退到原來的登錄頁面，驗證碼仍爲以前的驗證碼，事實證明，這個舊的驗證碼是仍舊可以用的。
結論：我認爲只要稍具水平的黑客便可以獲得別人的賬號和密碼。（僅個人意見，不知其中是否還有別的嚴密驗證技術在裏面，恕我水平有限，如有不對，還請指正。謝謝！）