とあるサイトで、URLが
hoge.php?page=index
hoge.php?page=link
みたいになってるものを見つけた。
試しに
hoge.php?page=../index
とやったら上の階層のファイルを表示した。
$_GET[page]で指定されたファイルをそのまま表示しているのだろう。
某有名掲示板スクリプトサイトが配布している掲示板が設置されていたので、
これはもしや・・・と思いログファイルのパスを指定したら表示されてしまった。
hoge.php?page=../bbs/log.dat
みたいな感じで。

こんなんでいいんだ・・・、最近は誰でも気軽に自宅でサーバー運用したり、
PHPとかで気軽にサーバーサイドプログラミングを楽しんでいるようだが、
なんつーか、こういう単純なセキュリティホール(とも呼べない程)に気付かないで運用しているのはすごく怖いと思う。