ディレクトリトラバーサルとは？

ディレクトリトラバーサルとは、ファイル名を指定できる画面に「一つ上の階層へ」という記号を混ぜて送り、公開する意図のなかったファイルまで読み出させる攻撃。パス名の検査不足という脆弱性が原因で、設定ファイルや個人情報ファイルの流出につながる。被害と対策を問う形で出題される。

情報セキュリティマネジメント試験の過去問では1回出題されています。

でぃれくとりとらばーさる

情報セキュリティマネジメント試験の頻出用語／テクノロジ系

ディレクトリトラバーサルの意味

ファイル名を指定できる画面に「一つ上の階層へ」という記号を混ぜて送り、公開する意図のなかったファイルまで読み出させる攻撃。パス名の検査不足という脆弱性が原因で、設定ファイルや個人情報ファイルの流出につながる。被害と対策を問う形で出題される。

社外向けの資料ダウンロードページで、URLのファイル名部分を書き換えた要求が大量に届いていた。ログを確認すると、公開フォルダの外にあった顧客名簿の一部が読み出されており、外部公開サーバに業務ファイルを同居させていた運用そのものを見直した。

通信を暗号化していれば防げる、と考えるのは誤り。TLSは経路の盗聴を防ぐだけで、正規の手順で送られた不正な要求は素通りする。SQLインジェクション（データベースを狙う）とは狙う対象が違う。

ディレクトリトラバーサル攻撃に該当するものはどれか。
正解：攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。
要点：ディレクトリトラバーサルはパス指定を悪用した不正閲覧
ディレクトリトラバーサル攻撃は、ファイル名やパスを指定するパラメータに相対パス記法などを紛れ込ませ、本来公開を意図していないディレクトリのファイルを読み出したり書き換えたりする攻撃である。対策としては、外部から与えられた値でパスを組み立てない、パス名を検証する、Web公開領域外へのアクセス権を与えないといった方法がある。
出典：平成29年度春期情報セキュリティマネジメント試験午前問23（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。