涉及程序： Yuzi BBS 3000 详细： 构造特殊请求导致 Yuzi BBS 泄露系统敏感信息 3000 是一个非常流行的论坛程序，其免费发行版主程序 bbs.cgi 没有仔细检查用户输入，当然也没有过滤“..”和“/”。再利用“Poison Null Byte”， 攻击者可以构造一个特殊的请求，从而获得系统中的敏感文件信息。 http://www.victim.com/cgi-bin/bbs.cgi?id=../../../etc/passwd%00 将泄露系统的 passwd 文件。 by analysist http://www.china4lert.org 解决方案： 过滤“..”和“/”特殊字符。