私は、問題を再現する/ファイルシステムへの不正アクセスをrequest.paramとクエリ文字列を通してテストしました。クエリ文字列またはパラメータによってファイルシステムにアクセス
たとえば、私はこのようなものを持っています。 request.querystring（ "blah"）; 誰かがクエリ文字列とアクセスファイルシステムで "../../../b1/b2"をどうやって渡すことができましたか？
これは、クロスサイトスクリプティングに関連する可能性があります。
少なくともリソースを提供する必要があります。前もって感謝します。
私は確定的な答えを出すことができましたが、少なくともの方向にあなたを誘導することができます。あなたは（）場合、Request.QueryStringは確かに責任があったということですが、いくつかの可能性があるか自信がわからない：
ディレクトリトラバーサル/パストラバーサル：
概要：http://en.wikipedia.org/wiki/Directory_traversal
テストのために：http://www.owasp.org/index.php/Testing_for_Path_Traversal
リモートファイル組み込み：
概要：http://en.wikipedia.org/wiki/Remote_file_inclusion
チュートリアル：http://www.offensivecomputing.net/?q=node/624（KnightLighterチュートリアル）
希望の方向に移動します。
Thanks for the links which helped me understanding. Can you provide info of how to implement the attack. I want to attack my own site and see the whether it is preventing it or not. – gtk
requesting the page with ?潜在的に危険な要求例外がスローされます。 validateRequestがtrueの場合でもテストを実行する方法。基本的には、注射をパスして実行する方法。 – gtk
@gtk owaspへのリンクには、悪用のテストに関するセクションがあります。ペンテストを行う予定がある場合は、メタソリューションをチェックすることもできます。ロールアップあなたの袖と幸運;） – xelco52
リモートファイルインクルード（RFI）、ローカルファイルインクルージョン（LFI）を使用してどのようにハッキングするのか尋ねていますか？ –
@ K Lvanov、まあ、私はクロスサイトスクリプティングのやり方を尋ねています。要求パラメータを誘導し、ファイルシステムにアクセスするため。以下のようにします。
gtk