Ngnix在遇到%00空字节时与后端FastCGI处理不一致，导致可以在图片中嵌入PHP代码然后通过访问xxx.jpg%00.php来执行其中的代码
In vulnerable versions of nginx, null bytes are allowed in URIs by default (their presence is indicated via a variable named zero_in_uri defined in ngx_http_request.h).
Individual modules have the ability to opt-out of handling URIs with null bytes. However, not all of them do; in particular, the FastCGI module does not.
· 2011-8月Apache HTTP Server畸形Range选项处理远程拒绝服务漏洞
Apache HTTP Server是Apache软件基金会的一个开放源代码的网页服务器，可以在大多数电脑操作系统中运行，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。
Apache HTTP Server在处理Range选项生成回应时存在漏洞，远程攻击者可能利用此漏洞通过发送恶意请求导致服务器失去响应，导致拒绝服务。此漏洞源于Apache HTTP Server在处理Range头选项中包含的大量重叠范围指定命令时存在的问题，攻击者可通过发送到服务器的特制HTTTP请求耗尽系统资源，导致Apache失去响应，甚至造成操作系统资源耗尽。
· 2011-8月phpMyAdmin跟踪功能多个跨站脚本漏洞
phpMyAdmin存在多个安全漏洞，允许恶意用户进行脚本注入攻击。
部分传递给table, column和index名的输入在跟踪功能中使用前缺少过滤，可被利用注入任意HTML和脚本代码，当恶意数据被查看时可以目标用户浏览器安全上下文执行恶意代码。
Web安全未来发展趋势与挑战
· 常规的、为大众所认同的注入、跨站等攻击技术现在普遍越来越少，导致对于安全级别较高的Web应用发起攻击比以前苦难很多。
· 随着攻击者对于Web应用的研究越来越深入，新的0day将会被越来越多的发掘出来，至此一些大型的Web应用，商业级别和安全性较高的站点都会因为源代码被窃取，或者反编译等手段，使得Web应用0day的挖掘会越来越多。
· 保障Web安全，就不得不保障源代码的安全，对发布的Web应用都需要进行加密保护。
· 传统的攻击技术，成功攻击网站的案例越来越少，随着安全意识的整体提升，传统的基于输入、输出的过滤会越来越严格，但是web应用的逻辑漏洞确是不能被忽略的。
· 另外随着Web应用的发展，Web的功能越来越强劲，对于SNS社区的发展，人与人之间的交流愈发频繁，相反的攻击发生的概率也会越高，尤其是基于Web系统逻辑功能API的调用攻击(CSRF)，在辅予社会工程学的技术，攻击也依然会无所不能。
· 核心互联网应用面临严峻挑战。网上银行、网上营业厅、网络购物、网游、DNS服务器等，很多恶意攻击者出于不良的目的对Web 服务器进行攻击，想方设法通过各种手段获取他人的个人账户信息谋取利益。
