ディレクトリトラバーサルとは？

ディレクトリトラバーサルとは、ファイル名をパラメータで受け取る処理に「../」等の相対パスを与え、公開範囲外のファイルを読み書きさせる攻撃。設定ファイルやパスワードファイルの窃取につながる。

でぃれくとりとらばーさる

情報処理安全確保支援士試験の頻出用語／午前II／別名：パストラバーサル

ディレクトリトラバーサルの意味

ファイル名をパラメータで受け取る処理に「../」等の相対パスを与え、公開範囲外のファイルを読み書きさせる攻撃。設定ファイルやパスワードファイルの窃取につながる。

帳票ダウンロード機能がfile=2025_04.pdfというパラメータでファイル名を受け取っており、file=../../../../etc/passwdを与えると読み出せた。ファイル名の受け渡しをやめ、帳票IDからサーバ側の対応表でパスを解決する方式へ変更した。

対策はパラメータでファイルパスを直接指定させない設計にすること。文字列で「..」を除去する処理はURLエンコードや二重エンコードで回避されやすい。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。