ディレクトリトラバーサルとは？
ディレクトリトラバーサルとは、ファイル名を指定するパラメタに相対パスの上位移動を含む文字列を与え、公開範囲外のファイルを読み出す攻撃。設定ファイルや鍵、パスワードファイルの窃取につながる。パス名を利用者入力から組み立てる実装と、権限を絞らないプロセス設定の組合せで成立する。
でぃれくとりとらばーさる
ディレクトリトラバーサルの意味
ファイル名を指定するパラメタに相対パスの上位移動を含む文字列を与え、公開範囲外のファイルを読み出す攻撃。設定ファイルや鍵、パスワードファイルの窃取につながる。パス名を利用者入力から組み立てる実装と、権限を絞らないプロセス設定の組合せで成立する。
ディレクトリトラバーサルの具体例
文書配信の引数に上位ディレクトリを重ねた文字列を与え、サーバの認証情報ファイルを取得される。対策はファイル名を識別子と対応表で解決して直接受け取らないこと、Webサーバプロセスを専用の低権限アカウントで動かし、公開ディレクトリ外への読取り権限を与えないことである。
ディレクトリトラバーサルは試験でどう引っ掛けられる？
上位移動の文字列だけを検査する対策は、URLエンコードや多重エンコードで回避される。正規化した後に検査する順序が要点。ファイル読出しに限らず、書込み可能な場面では設定の改ざんにも発展する。
ディレクトリトラバーサルと関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。