Ушел один из наших коллег в отпуск.
И толи по запаре толи по наивности оставил сохраненными пароли на два аккаунта в аську под квипом.

Обнаружив такое дело, мы решили поиздеваться над нашим секьюрщиком. (по доброму конечно же).

Загрузились под его аккаунтом, изменили primary e-mail на свой, а чтобы поменять пароли пришлось воспользоваться веб сервисом на icq.com. Так же мы изменили дополнительные вопросы.

Какого же было наше удивление, когда товарисч вернулся из отпуска и без проблем востановил себе пароли на оба аккаунта.

Оказалось что icq-шный сервер хранит как primary e-mail два последних введеных адреса.

И любой из них оказывается валидным при указании в форме востановления пароля.

Ещё один нюанс в том, что при сбрасывании пароля, на мыло высылается линка, по которой можно пройти так сказать для подтверждения. Эта линка валидна в течении суток, даже в том случае если пользователь из под своей учётной записи ещё раз поменял пароль или primary e-mail.

Таким образом злые шутники вместе с пострадавшим целый день игрались, меняя пароли на несчастном аккаунте.

В общем учтите в будущем эти мелочи, которые могут оказаться очень “приятными”.

Взял здесь.

Либо это бага в Perfomansing, либо оч-умелый россиянин прикрутил msie к пингвину, либо я просто чего-то в этой жизни не понимаю.

Пришлось расписывать… “Путём горизонтального перемещения в плоскости стола манипулятора типа “мышь” добиться совмещения на дисплее компьютера графического курсора и изображения кнопки с надписью “Ok”, после чего произвести вертикальное перемещение левой кнопки вышеобозначенного манипулятора вниз до характерного щелчка, по достижении которого прекратить удерживать данную кнопку.”

по материалам http://bash.org.ru/

Вот потом и думай, а может быть так и надо? Чтобы понятно было.. хм..

Пришёл нам на тест сайт. Даже фактически не сайт, а одна форма регистрации. Казалось бы ничего сложного – поля с именем, адресом, почтой и т.п., всё как всегда. Соответственно необходимо проверить на корректность работы эту форму и валидацию полей, т.е. сколько чего туда можно ввести или нельзя, какие символы, в каком формате и т.п. В большей части делается это по 2м причинам:

1) Показать пользователю какое поле он забыл заполнить (или неправильно заполнил);

2) Уберечь систему и базу данных от всяческих возможных атак при помощи скриптов и т.п. вещей, ну или, по крайней мере, чтоб не засоряли базу, чем попало.

В этой форме было обычное поля для ввода ZIP кода (индекс по-нашему). Хочу отметить, что в США (а форма регистрации предполагала, что регистрироваться будут только жители США) ZIP код состоит из 5 цифр, ни больше, ни меньше. Есть правда ещё ZIP+4, но он используется для более точного нахождения адресата, и в данной форме предусмотрен не был, да и обычно это поле указывается отдельно.

Что нужно обычному программисту, чтоб сделать валидацию такого поля?

- ограничить длину поля 5ю знаками.

- проверять, что введённое значение не меньше 5ти символов и что все они – цифры.

Что нужно индийскому программисту чтоб сделать валидацию этого поля?

- Изначально забить вообще на валидацию и…

- Получить репорт о том, что отсутствует валидация и есть возможность, например, отправить форму, в которой меньше 5ти символов и они произвольные.

- Сделать валидацию в виде алерта, который при сабмите формы пишет, что введено меньше 5ти символов и (если таковые есть) введены нецифровые значения

- После исправления описанной проблемы, получить репорт о том, что вроде всё хорошо, но зачем же разрешать пользователю вводить более 5ти символов.

- Сделать ещё один алерт о том, что в поле введено более 5ти символов.

После чего смотрим мы в HTML код этой формы и видим, что для поля ZIP код установлен параметр maxlength со значением «12»… Зачем??? Поставить вместо 12ти цифру 5 и не парится с проверкой на большее кол-во символов – видимо религия не позволяет.

Так же хочу отметить, что в этой форме вся валидация была построена на javascript’овых алертах, которые проверяли поля по очереди. Т.е. если попытаться запостить пустую форму, то первым появлялось сообщение о том, что не введено Имя. Когда пользователь вводил имя и пытался засабмитить форму ещё раз, то появлялось сообщение о том, что не введена Фамилия и т.д. Видимо сделать сообщения inline возле каждого поля, которые бы после сабмита показывали пользователю, где он забыл ввести значения или ошибся – также религия не позволяет. Но вот нарисовать возле каждого поля звёздочку (*) и внизу мелко написать что поля, помеченные этим знаком, являются обязательными – они додумались (или у кого-то подсмотрели).

Так что работать с индусами нескучно . И это только на примере всего лишь простой формы регистрации.

P.S. Но всё же хочу оговорится! Был один проект от индусов, который был написан более или менее аккуратно и кол-во найденных там багов было минимальным. Но что-то мне подсказывает, что наверно использовали они какую-то свою, уже тысячи раз, оттестированную систему, к которой просто прикрутили другой интерфейс

By Sundancer