вообщем, sqli там похоже нет, но нашел один единственный файл tracker. Т.е. это не совсем файл. Можно подставить к нему любое расширение и он откроется в соответствии с ним. Т.е. tracker.txt выдает нам текстовый файл с HTML-кодом, tracker.js выполняется как js, выходит пустая страница. Если открыть tracker.jpeg или tracker.bmp то выйдет сообщение об ошибке при загрузке изображения. Но вообще открывается тэг , но как черный экран. В остальных случаях открывается обычная страничка. Какие мысли? Напомню, что там ЧПУ.