Как ломаются сайты?

[Veseloff]

Встал вопрос о защите сайта - заказчик очень интересуется какие меры приняты. На данный момент есть следующее:

1. Проверка данных из адресной строки (использую ЧПУ, но все равно проверяю регуляркой на наличие "левых" символов)

2. Не разрешаю простые пароли - длина от 8 символов, обязательно буквы + цифры.

3. Во всех формах htmlspecialchars перед записью в базу.

4. Каптча при регистрации (просто хорошая картинка, которую еще ни разу пока боты не пробивали на моей памяти)

5. Если пароль введен неправильно 5 раз - блок айпишника на 30 минут (для защиты от перебора паролей)

6. 755 права на папках

7. Надёжный и проверенный хостер.

На этом все. Какие вообще методы используются для взлома и какие меры (кроме описанных выше) необходимо принять для защиты?

[homm]

3. Во всех формах htmlspecialchars перед записью в базу.

Вообщето для базы есть другие экранирующие функции.

2. Не разрешаю простые пароли - длина от 8 символов, обязательно буквы + цифры.

Я такие сайты сразу на ня шлю. Какой-то умник разработчик должен за меня решать, какой у меня пароль? Почему не 20 символов с обязательными знаками в utf-8? Совсем оняели.

[haZe]

2. Не разрешаю простые пароли - длина от 8 символов, обязательно буквы + цифры.

Я такие сайты сразу на ня шлю. Какой-то умник разработчик должен за меня решать, какой у меня пароль? Почему не 20 символов с обязательными знаками в utf-8? Совсем оняели.

поддерживаю

[Veseloff]

2. Не разрешаю простые пароли - длина от 8 символов, обязательно буквы + цифры.

Я такие сайты сразу на ня шлю. Какой-то умник разработчик должен за меня решать, какой у меня пароль? Почему не 20 символов с обязательными знаками в utf-8? Совсем оняели.

Это бесспорно для большинства сайтов. Но когда в результате плохого пароля юзер может потерять реальные деньги (как в данном конкретном проекте) я предпочитаю избегать претензий со стороны пользователей и навязываю им нормальный пароль - это, в первую очередь, в их же интересах.

P.S. В тему ответы будут?