Web应用程序的安全性问题依其存在的形势划分，种类繁多，这里不准备介绍所有的，只介绍常见的一些。
|
常见Web应用安全问题安全性问题的列表： １、跨站脚本攻击(CSS or XSS, Cross Site Scripting) |
目录遍历(Directory traversal)
部分朋友应该知道之前我在我的blog里公布了ah163.NET上的一个安全漏洞，安全级别高：极度危险，由于我没有公布细节，大家都比较好奇想知道是什么。出于对同行的尊重我就删除了漏洞公布这一栏的内容了。我已经通知ah163.Net的同行了，他们已经fix那个问题。
今天我们就讲讲这个漏洞。love.ah163.net上有网络硬盘服务，当注册用户登录并开通网络硬盘服务后，即可进入自己的硬盘管理界面，我们来看看它是如何进入某一个目录的，以下是进入某一目录的ＵＲＬ： http://love.ah163.net/Personal_Spaces_List.php?dir=MyFolder
那现在我把这个ＵＲＬ改装一下：http://love.ah163.net/Personal_Spaces_List.php?dir=../../../../../../../../../../../../../usr/local/apache/conf/
在浏览器里运行它，会是什么结果呢？结果是：/usr/local/apache/conf/里的所有文件都老老实实的列出来了，通过这种方式，你可以发挥你的想象了，服务器上的东东是不是都差不多可以列出来了？告诉你，还可以随便下载呢！网络硬盘嘛，就是用来上传下载的，所以它提供的功能很完备，破坏性也就很强了。至于它的危害有多大，你自己想去吧，我就不危言耸听了。
简要的解决方案:
１、同样是限制Web应用在服务器上的运行
２、进行严格的输入验证，控制用户输入非法路径
本文来自：http://blog.csdn.net/iwebsecurity/article/details/1693877
