еще дырка(если чат скачан с VISAVI.NET):
Есть файл fr.php - Посмотреть фотку пользователя... - fr.php?id=номер, так вот если вместо номера ввести например fr.php%00(%00 - обязательно, для окончания строки, а то там в конце добавится .gif), то можно открыть любой файл на серваке.... ну почти любой...