ディレクトリトラバーサルとは？でぃれくとりとらばーさる
ディレクトリトラバーサルとは、ファイル名を指定できる画面に「一つ上の階層へ」という記号を混ぜて送り、公開する意図のなかったファイルまで読み出させる攻撃。パス名の検査不足という脆弱性が原因で、設定ファイルや個人情報ファイルの流出につながる。被害と対策を問う形で出題される。
最終更新：2026-10-06
この語が出る過去問を解く →具体例
社外向けの資料ダウンロードページで、URLのファイル名部分を書き換えた要求が大量に届いていた。ログを確認すると、公開フォルダの外にあった顧客名簿の一部が読み出されており、外部公開サーバに業務ファイルを同居させていた運用そのものを見直した。
試験での引っ掛け
通信を暗号化していれば防げる、と考えるのは誤り。TLSは経路の盗聴を防ぐだけで、正規の手順で送られた不正な要求は素通りする。SQLインジェクション（データベースを狙う）とは狙う対象が違う。
関連用語
出た過去問
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）
ディレクトリトラバーサル攻撃に該当するものはどれか。
正解：攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。
要点：ディレクトリトラバーサルはパス指定を悪用した不正閲覧
ディレクトリトラバーサル攻撃は、ファイル名やパスを指定するパラメータに相対パス記法などを紛れ込ませ、本来公開を意図していないディレクトリのファイルを読み出したり書き換えたりする攻撃である。対策としては、外部から与えられた値でパスを組み立てない、パス名を検証する、Web公開領域外へのアクセス権を与えないといった方法がある。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。