(7 )文件管理部分传递参数过滤问题及外部提交

　　这个漏洞的典型例子就是Ewebeditor，他的uploadfile.asp等文件中就存在着典型的参数外部提交，导致入侵者可以由浏览器提交需要列出文件的路径，从而达到任意目录浏览的目的，可以浏览目录就可以知道数据库路径，从而获得更高的信息和权限。

　　这里dir的值是从浏览器获取的，而且没有进行过滤，所以我们手工构造下就可以跳转到任意目录了

　　允许浏览任意目录的同时伴随的允许下载任意文件，例如数据库连接配置文件conn.asp或者你可以直接浏览得到数据库名称，并对其进行下载。所以网站编写中对于文件管理这个功能的编写一定要尽可能的避免允许外部提交参数并且对目录的访问进行过滤和限制。