ディレクトリトラバーサル
更新日:
用語解説
ディレクトリトラバーサルは、ファイル名の入力に「../」などを入れて、公開を許したフォルダの外にあるファイルにアクセスする攻撃です。
■ 試験で押さえるポイント
設定ファイルなど、本来は見せないファイルを読まれるおそれがあります。
利用者にファイルのパスを直接指定させず、IDなどでサーバ側のファイルと対応付けます。
パスを使う場合は、正規化した後に、許可したフォルダの中にあるかを確認します。
■ 過去問での着眼点
「../」を取り除くだけでは、符号化などで回避されるおそれがあり、不十分です。
例: ダウンロードの機能では、ファイル名ではなく文書のIDを受け取り、サーバが決めた場所のファイルを返します。