ディレクトリトラバーサル

ディレクトリトラバーサルとは、Webサイトの脆弱性を悪用し、本来アクセスできないディレクトリやファイルを不正に閲覧する攻撃手法です。サーバー内のファイルシステムに直接アクセスするパスの指定に細工をすることで、公開用フォルダの外にある機密ファイルに到達しようとします。

仕組みとしては、ファイル名を指定するパラメータに「../（親ディレクトリへの移動を意味する記号）」を連続して入力します。これにより、Webサーバーの構成をたどり、プログラムの設定ファイルやパスワードファイルなど、通常は外部から見られないはずのファイルへ強引にアクセスを試みます。適切なアクセス制御やパスの正規化が行われていないサーバーが標的となります。

試験では、セキュリティの脅威と対策として問われます。混同しやすいのは、Webサイト改ざんとの違いです。ディレクトリトラバーサルは「閲覧」を主目的とする攻撃ですが、改ざんは「書き換え」を目的に行われます。対策としては、入力値を厳密に検証し、ディレクトリを移動するような特殊文字を無効化する処理を実装することが不可欠です。