パストラバーサルとは？
ぱすとらばーさる
パストラバーサルとは、ファイルパスの操作によって本来アクセスできないサーバー上のファイルを読み取る攻撃手法です。
パストラバーサル（Path Traversal）は、ディレクトリトラバーサルとも呼ばれるWebアプリケーションの脆弱性を突いた攻撃手法です。攻撃者がリクエストに含めるファイルパスに ../（ドットドットスラッシュ）などの相対パス記号を挿入することで、Webサーバーが想定する公開ディレクトリの外にあるファイルへアクセスします。
典型的な攻撃例としては、画像取得APIに ?file=../../etc/passwd のようなパスを渡すことで、Linuxシステムのパスワードファイルを読み取ろうとするものがあります。攻撃が成功すると以下のような被害が生じます。
- 設定ファイル・秘密鍵・パスワードファイルの漏洩
- ソースコードの窃取
- システム情報の収集（次の攻撃への足掛かり）
- ログファイルの改ざんや削除（書き込み権限がある場合）
主な対策は以下の通りです。
- ユーザー入力をファイルパスに直接使わない
- 入力値の正規化とバリデーション（../ などのエスケープを検知・除去）
- ホワイトリスト方式でアクセス可能なファイルを限定する
- Webサーバーのプロセス権限を最小化する
OWASPが定義する代表的なWebセキュリティリスクのひとつで、適切な入力検証とファイルアクセス制御によって防止できます。
使い方・例文
ファイルダウンロード機能のURLパラメータに ../../../etc/passwd を入力してサーバー内部のシステムファイルを取得しようとする行為が、パストラバーサル攻撃の典型的なシナリオです。
この用語をシェア
最終更新: