テクノロジ
ディレクトリトラバーサルとは
読み方：でぃれくとりとらばーさる
ひとことで言うと：パス指定を不正に操作し、本来公開されていないファイルやディレクトリへアクセスする攻撃。
意味をわかりやすく解説
ディレクトリトラバーサルでは、../などを含むパスを入力して公開領域の外へ移動し、設定ファイルや認証情報などを読み取ろうとします。
対策として、利用者入力をファイルパスへ直接使わない、ファイルをIDで管理する、許可したファイルだけを扱う、正規化後のパスを検証するなどがあります。
具体例
ダウンロード機能のファイル名に../../secret.txtを指定し、本来の公開フォルダ外のファイルを取得しようとする。
似た用語との違い
OSコマンドインジェクション
OSコマンドインジェクションは不正なコマンド実行を狙います。ディレクトリトラバーサルはパスをたどって不正なファイルアクセスを狙います。
パストラバーサル
パストラバーサルはディレクトリトラバーサルとほぼ同じ意味で使われます。../などによるパス操作が典型です。
覚え方
traversal＝横断する。../でフォルダの境界を越える、と覚えます。
基本情報技術者試験の試験ポイント
攻撃の目的がコマンド実行ではなく、本来範囲外のファイルへのアクセスである点を押さえます。
CHECK QUESTION
ファイル名入力に../を含め、公開フォルダ外の設定ファイルを読み取ろうとする攻撃は何ですか。
答えを見る
ディレクトリトラバーサルです。
この説明は分かりやすかったですか？
基本情報技術者試験を勉強中ですか？
この用語を含む重要用語を、単語帳や4択テストで学習できます。