[security] 당신이 본 최악의 보안 구멍? [닫은]

Microsoft의 초기 시절의 실화.

ZDNet.com에서 아침이 ” Blah “에서 발견 된 최악의 Internet Explorer 보안 취약점이 발견되었습니다 . “Blah”는 6 개월 전에 작성한 코드입니다. .

작업을 시작하자마자 변경 로그를 확인한 후 다른 팀의 직원 (제품 변경을 신뢰할 수있는 사람)이 내 코드를 확인하고 아무런 이유없이 보안 레지스트리 키 설정을 변경했음을 발견했습니다. 다시 체크인했으며 코드 검토를 받거나 다른 사람에게 알리지 않았습니다. 오늘날까지 나는 지상에서 그가 무엇을하고 있다고 생각하는지 전혀 모른다. 그는 곧 회사를 떠났다. (자신의 협정에 따라)

(업데이트 : 의견에서 제기 된 문제에 대한 몇 가지 답변 :

먼저, 보안 키 변경이 의도적이지 않고 악의가 아닌 부주의 또는 친숙 함을 기반으로한다는 자선적인 입장을 취하기로 결정했습니다. 나는 어떤 식 으로든 다른 방법으로 증거가 없으며, 인간의 실수로 실수를 일으키는 것이 현명하다고 믿는다.

둘째, 체크인 시스템은 12 년 전보다 훨씬 강력합니다. 예를 들어, 체크인 시스템이 변경 목록을 이해 당사자에게 이메일로 보내지 않으면 코드를 체크인 할 수 없습니다. 특히, 선박주기 후반에 변경된 사항에는 제품의 안정성과 보안을 보장하기 위해 올바른 변경이 이루어 지도록 많은 “프로세스”가 있습니다.)

어쨌든 버그는 Internet Explorer에서 사용하기에 안전하지 않은 개체가 실수로 “스크립트 사용에 안전”으로 표시되었다는 것입니다. 이 개체는 바이너리 파일 (실제로 OLE 자동화 유형 라이브러리)을 임의의 디스크 위치에 쓸 수있었습니다. 이것은 공격자가 적대적인 코드의 특정 문자열을 포함하는 형식 라이브러리를 제작하고 알려진 실행 가능한 위치 인 경로에 저장하며 스크립트 실행을 유발할 수있는 확장 기능을 제공하며 사용자에게 희망을 줄 수 있음을 의미했습니다. 실수로 코드를 실행합니다. 이 취약점을 사용한 성공적인 “실제”공격에 대해서는 알지 못하지만이 취약점을 악용하여 악용 할 수는 있습니다.

우리는 그 패치를 매우 신속하게 제공했습니다.

나는 JScript에서 더 많은 보안 허점을 일으켜서 고쳤지만 그 어느 것도 그 홍보지 근처에 없었습니다.

답변

String emailBody = "";

for (int i = 0; i < subscribers.Count; i++)
{
    emailBody += "Hello " + subscribers[i].FirstName + ",";
    emailBody += "this is a reminder with your account information: \n\n:";
    emailBody += "Your username: " + subscribers[i].Username + "\n";
    emailBody += "Your password: " + subscribers[i].Password + "\n";
    emailBody += "Have a great day!";

    emailDispatcher.Send(subscribers[i].EmailAddress, emailBody);
}