Ho un collega maldestro
Questa procedura e' usata nella intranet aziendale (30 pc, connessi in peer-to-peer, workgroup, macchine con win2000/xp, solo IE6/7/8).
Ho letto che e' sconsigliato effetture la procedura di login completamente client-side.
Per capirsi, una pagina HTML con un form, in cui ci sono due textbox (login, pwd), e un pulsante (submit). Il pulsante submit ha un evento onClick che chiama una funzione javascript "esegui_login()".
Tale funzione e' specificata in un file esterno, attraverso attributo src nel tag HEAD.
Non vi e' interazione con alcun server/db, quindi nessun codice lato server.
Come fare a bucare questo sistema?

Con firefox, mi basta scrivere l'URL del file esterno javascript (URL pagina login + path nel src), e firefox visualizza direttamente il codice sorgente javascript.
A questo punto ho scoperto le password perché il file contiene le password in chiaro:
codice:
if (form.id.value=="qwerty") // USERD ID
	{
	if (form.pass.value=="000123") // PASSWORD
	{
		location="utility/price/index.html"
	  }
	ecc...
Con IE8 invece, tenta di scaricare il file js, non ottiene il permesso.
Quindi paradossalmente il sistema sembra siscuro perché e' installato solo IE!
Come scoprire le password anche con IE?
grazie