ディレクトリトラバーサルとは？でぃれくとりとらばーさる
ディレクトリトラバーサルとは、Webサイトが受け取るファイル名の指定に「../」のような一つ上の階層（ディレクトリ＝フォルダ）をたどる書き方を紛れ込ませ、本来は公開していない場所のファイルを読み出したり書き換えたりする攻撃。パストラバーサルとも呼ぶ。対策は、利用者から受け取った文字をそのままファイルの置き場所として使わず、あらかじめ用意した番号や記号とファイルの対応表で決めることである。
最終更新：2026-10-10
ITパスポートを最短で暗記・合格する →背景
Webサイトの多くは「利用者が指定した名前のファイルを取り出して表示する」という作りをしている。ところがファイルの場所を表す書き方には、一つ上の階層を意味する記号が元から用意されている。この記号を並べれば、公開用の置き場所より上、つまり設定ファイルやパスワードの入ったファイルのある場所へさかのぼれてしまう。攻撃側は特別な道具を使うのではなく、システムが元から持っている表記の決まりをそのまま利用している。
具体例
資料ダウンロードの画面で、アドレスの末尾がファイル名になっているサイトに、そのファイル名の代わりに上の階層をたどる文字列を入れて送ると、公開していない設定ファイルの中身が画面に表示されてしまう。企業サイトの資料ダウンロード機能から、社内向けの文書が第三者に取得された事例が実際に報告されている。
試験での引っ掛け
狙う対象がファイルである点が見分けの手がかり。データベースに命令を紛れ込ませるSQLインジェクション、他人のブラウザ上で不正な処理を動かすクロスサイトスクリプティング、想定を超える量のデータを送り込むバッファオーバーフロー攻撃と並べて選ばせる問題が出る。「何を狙う攻撃か」で区別する。また「../」という文字を取り除くだけの対策は、別の書き方ですり抜けられることがあるため、万全ではない。
関連用語
出典・参考
公式シラバスの9 技術要素 ＞ 61. 情報セキュリティ ＞ (4) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。