Web应用程序的安全性问题依其存在的形势划分，种类繁多，这里不准备介绍所有的，只介绍常见的一些。

目录遍历(Directory traversal)

　　部分朋友应该知道之前我在我的blog里公布了ah163.net上的一个安全漏洞，安全级别高：极度危险，由于我没有公布细节，大家都比较好奇想知道是什么。出于对同行的尊重我就删除了漏洞公布这一栏的内容了。我已经通知ah163.net的同行了，他们已经fix那个问题。

今天我们就讲讲这个漏洞。love.ah163.net上有网络硬盘服务，当注册用户登录并开通网络硬盘服务后，即可进入自己的硬盘管理界面，我们来看看它是如何进入某一个目录的，以下是进入某一目录的ＵＲＬ：　　http://love.ah163.net/Personal_Spaces_List.php?dir=MyFolder

那现在我把这个ＵＲＬ改装一下：http://love.ah163.net/Personal_Spaces_List.php?dir=../../../../../../../../../../../../../usr/local/apache/conf/

在浏览器里运行它，会是什么结果呢？结果是：/usr/local/apache/conf/里的所有文件都老老实实的列出来了，通过这种方式，你可以发挥你的想象了，服务器上的东东是不是都差不多可以列出来了？告诉你，还可以随便下载呢！网络硬盘嘛，就是用来上传下载的，所以它提供的功能很完备，破坏性也就很强了。至于它的危害有多大，你自己想去吧，我就不危言耸听了。

　　简要的解决方案:

１、同样是限制Web应用在服务器上的运行 

２、进行严格的输入验证，控制用户输入非法路径

本文来自：http://blog.csdn.net/iwebsecurity/article/details/1693877