ディレクトリトラバーサルとは？

ディレクトリトラバーサルとは、ファイル名をパラメータで受け取る機能に対し、相対パス記法などを混ぜて公開範囲外のファイルを読み書きさせる攻撃。設定ファイルやパスワードファイルの窃取につながる。入力値をそのままファイルパスに連結する実装が原因となる。

でぃれくとりとらばーさる

システムアーキテクト試験の頻出用語／午前II

ディレクトリトラバーサルの意味

ファイル名をパラメータで受け取る機能に対し、相対パス記法などを混ぜて公開範囲外のファイルを読み書きさせる攻撃。設定ファイルやパスワードファイルの窃取につながる。入力値をそのままファイルパスに連結する実装が原因となる。

帳票ダウンロード機能で、ファイル名をパラメータに載せず内部IDから対応表で引く方式に変える。やむを得ず名前を受ける場合は、英数字だけの許可リストで検証したうえで、絶対パスに正規化してから公開ディレクトリ配下かを判定する。

「../」を単純に除去する対策は、二重記述や文字コードの別表現で回避される。除去（サニタイズ）ではなく、正規化後の検証と許可リストで通すのが原則。Webサーバの権限を絞ることは被害軽減であって根本対策ではない。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。