而且我们谈论的不是小夫妻店—Poteet的大部分客户是财富500强公司，其中很多是金融机构。但是，即使是在这些金融领域的大型机构中—它们都是以在安全问题方面专业精通和经验丰富而闻名—这些数字领域的专家仍然留出了大量有名的安全漏洞，吸引攻击者像苍蝇追着蜜糖一样蜂拥而至。

骗我一次…

　　谈到安全问题只有一件事可以确定，就是人们一遍又一遍地犯着同样的错误。黑客因此得以存在。

　　一般的漏洞包括错误信息数据，它们可以用来进入系统，SQL注入，XSS(跨站点脚本)和J2EE应用程序中的进入控制(Java2平台，企业版本)。

　　黑客特别喜爱SQL注入：一个好的SQL注入将从你数据库表中得到数据。

　　如果攻击者得到用户查询中的编辑能力，他们就可以改变数据库中的数据。

　　在开放网络应用安全计划概述中，这些问题名列全球十大应用安全问题最频繁失误。也包括在提供错误信息的实用信息名单中。

　　例如这个错误信息："微软提供的适用于MS SQL Server数据库系统的OLE DB数据库驱动程序错误'80040e14'号， select语句中的字段'newsTBL.NEWS_ID' 不合法，因为它没有包含在聚集函数中， 并且没有GROUP BY子句。

　　从以上信息中，一个潜在的攻击者会了解到该应用程序是使用OLE DB与数据库联系，它使用SQL服务器作为数据库，SQL指令会传送到数据库里叫做newsTBL的表。Rootkit技术的快速发展成为了为恶意代码机器增加利益的新趋势。

　　“我们在‘McAfee's’的Avert实验室看到一些的rootkit技术简直不可思议，”Kurtz说“‘我们看到’以前没有做过的事情，完全按新的方法‘做’的事情，暗中窃取信息，并把它用于金融欺诈。从一个‘犯罪的’心理来看，观念从‘让我来找个漏洞’变成了‘让我来找个能让我安装网络自动代理程序的应用程序漏洞，用自动代理程序使它自动化下载网页、感染用户。”

　　安全研究人员正在密切关注着两项rootkit新技术的实战应用，他们担心新技术有一天会为自动代理程序产业贡献金钱：虚拟的rootkit和邪恶的超级监视者。

　　“我们知道坏人为了在系统中停留更长时间，在悄悄地寻找更多途径”Joe Telafici说， Joe Telafici是俄勒冈州Beaverton的McAfee公司的Avert运营中心副总裁。”在一台机器上隐蔽地停留越长时间，就能将网络自动代理程序或其他的东西租售越长时间。”

　　目前只在概念证明型代码中看到的无论是邪恶hypervisor技术还是虚拟rootkits，都能让恶意代码作者在一台机器上隐蔽地停留很长的时间。

　　一直以来，研究员对黑帽子将新技术运用于攻击中严阵以待；他们相信这只是时间问题，而不是会不会发生的问题。(6月27日，一组研究人员提出外国新rootkit技术可能无法被察觉出来，不过委员会对这个问题仍然没有得出结论。)