Απορία στο Live HTTP headers

[poscore]

Φορτώνω μια σελίδα που έχει Login μηχανισμό και επιστρέφει ο server

>http://securityoverride.org/challenges/basic/7/

GET /challenges/basic/7/ HTTP/1.1
Host: securityoverride.org
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:13.0) Gecko/20100101 Firefox/13.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: el-gr,el;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Connection: keep-alive
Referer: http://securityoverride.org/challenges/basic/6/
Cookie: fusion_visited=yes; __utma=137382066.1058000889.1340633105.1340633105.1340636902.2; __utmz=137382066.1340633105.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); fusion_user=6781.4e2304affac92fd2641187574b7d51db; __utmb=137382066.44.10.1340636902; __atuvc=8%7C26; fusion_lastvisit=1340640360; PHPSESSID=47c5e7b811de3a26d555c65fb61690f6; __utmc=137382066
Cache-Control: max-age=0

HTTP/1.1 200 OK
Date: Mon, 25 Jun 2012 16:54:58 GMT
Server: Apache/2.2.19 (Unix) mod_ssl/2.2.19 OpenSSL/0.9.8e-fips-rhel5 mod_auth_passthrough/2.1 mod_bwlimited/1.4 FrontPage/5.0.2.2635 PHP/5.3.6
X-Powered-By: PHP/5.3.6
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache


Password: 81gl32lb8w0e


Keep-Alive: timeout=1, max=100
Connection: Keep-Alive
Transfer-Encoding: chunked
Content-Type: text/html

 

Μαζί με το password μιας φόρμας που υποτίθεται οτι πρέπει να συμπληρώσω. Αυτό τώρα τι υποτίθεται πως είναι? Που ακριβώς είναι το κενό ασφαλείας και απο την μεριά του προγραμματιστή του server ποιο είναι το λάθος? Μην μου πείτε οτι επιστρέφεται ο κωδικός

 

Απλά δεν μπορώ να καταλάβω τι λάθος θα μπορούσε να κάνει κάποιος και να δώσει αυτή τη πληροφορία! Ευχαριστώ πολυ!

[defacer]

Προσπαθώ πολύ αλλά δεν είμαι σίγουρος αν έχω καταλάβει την ερώτηση.

 

Βλέπω ότι πριν το "Password: whatever" υπάρχουν 2 newlines, κάτι που σύμφωνα με το πρωτόκολλο HTTP σηματοδοτεί το τέλος των headers και την αρχή του content. Έτσι, παρόλο που όλο αυτό που ποστάρεις φαίνεται να είναι όλο headers και καθόλου content, στην πράξη τα πάντα μετά το Pragma: no-cache θα εμφανιστούν σα μέρος του content (δηλαδή φόρα παρτίδα). Αυτά τα έξτρα newlines λοιπόν είναι λάθος.

 

Απο κει και πέρα δε μπορώ να καταλάβω:

 

• Τι ρόλο παίζει ο Password: "response header", από τη στιγμή που δεν είναι standard, δεν έχει κανένα νόημα (ο server στέλνει password στον client? τι σημαίνει αυτό?) και όποιος το έβαλε εκεί το έκανε επίτηδες (άρα δεν τίθεται με την καμία θέμα "έκανα λάθος"). Και γω μπορώ να γράψω κώδικα που να τυπώνει στην κεντρική σελίδα μου το username/password για τη database. Αυτό όμως δεν είναι "λάθος", είναι σαμποτάζ.
  
• Τι διαφορά θα είχε αν το Password: και ο,τι ακολουθεί γυρνούσαν όντως σαν headers και όχι σαν content. Εντάξει, δε θα έβγαιναν φόρα παρτίδα μπροστά σου αλλά και πάλι οποιοσδήποτε ξέρει έστω τα τελείως βασικά θα μπορούσε πολύ εύκολα να το δει.
  

[poscore]

Συγγνώμη που άργησα να απαντήσω και ευχαριστώ για την απάντησή σου. Με κάλυψες! Το παραπάνω ήταν σε ένα game για "να γίνεις hacker" και τέτοια απλά μου κίνησε την περιέργεια και ήθελα μια παραπάνω άποψη...