ディレクトリトラバーサル
更新日:
用語解説
ディレクトリトラバーサルは、ファイル名の入力に「../」などを含めて、公開が許されたディレクトリの外にあるファイルにアクセスする攻撃です。
■ 試験で押さえるポイント
パスワードのファイルなど、見せてはいけないファイルを読まれるおそれがあります。
利用者にファイルのパスを直接指定させず、IDで指定させる設計にします。
パスを正規化して、許可されたディレクトリの中にあるかを確認します。
■ 選択肢での判断ポイント
入力するパスを操作して、許可された範囲の外へアクセスする攻撃です。