[umka]

Разумеется, пользовательские. В директориях, в которых у него есть право на запись.

Как вариант, передаёте в QUERY_STRING данные:

() { :;}; rm -rf /

И CGI-скрипт, имеющий в качестве шеллы уязвимый bash, убивает все доступные файлы.

Аналогичными манипуляциями копируем файл типа "config.inc" в "config.html", смотрим браузером, залезаем в базу.

Сервер, конечно, можно убить только в том случае, если в системе чудом окажется suid-скрипт на bash-е.

Не думаю, что у кого-то bash в качестве CGI-шеллы используется :)

Зависит от того, что там у вас уже прописано.

Вообще, чтобы сохранялась строка параметров, к правилу RewriteRule нужно добавить флаг [QSA].

Значит, вполне распространённая штука :)

Только что проверил,

Safari в http-заголовках запрашивает "ru", через JS отдаёт "ru-ru"

Firefox в заголовках запрашивает "ru-RU,ru", через JS отдаёт "ru-RU"

Seamonkey в заголовках "ru-RU", через JS "ru-RU"

IE 8 в заголовках "ru", через JS "ru"

Так что как минимум IE 8 не отдаёт вторую половину названия локали.

Закрыть все порты, кроме необходимых (веб, почта и т.д.)

Все системные локали, по крайней мере в unix-системах, имеют "двойное" название, даже если регион использования языка один единственный, как у русского (ru_RU).

Если ява-скрипт получает только первую половину, это просто значит, что система или браузер (не знаю, что именно) вторую половину держат в секрете :)

Ну или система имеет какую-то нетрадиционную иерархию этих самых локалей.

Скорее всего, никакой.

У идентификаторов локалей первые буквы — язык, вторые — страна.

Например, может быть американский английский (en_US), может быть британский (en_GB), и т.д.

... и лучше кириллические, чтобы защититься от индусо-парсеров :)

Вы хотите сбросить конкретный input или всю форму целиком?

Если конкретный input, то сбрасывайте его

$('input[name="variantvivoda"][value="1"]').attr('checked',true);