ディレクトリトラバーサルとは？でぃれくとりとらばーさる
ディレクトリトラバーサルとは、Webアプリケーションがファイル名を利用者の入力から組み立てている隙を突き、上位階層をたどる文字列（../ など）を紛れ込ませて、本来は公開していない設定ファイルや個人情報ファイルを読み出させる攻撃（ディレクトリトラバーサル＝ディレクトリの横断）。特別な権限も高度な道具も要らず、URLの一部を書き換えるだけで成立する点が厄介で、公開サーバの設計不備がそのまま情報漏えいにつながる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
利用者に「どのファイルを見たいか」を指定させる作りは、帳票のダウンロードや添付資料の表示で自然に生まれる。開発側は自社が置いたファイルだけを指定される前提でコードを書くが、入力は利用者の手にあるので前提は守られない。入力を信用したまま資源を特定するという設計の癖が、この種の攻撃の共通の根にある。ITストラテジストの側では、個々の攻撃手法を覚えることより、こうした不備を作り込まない開発と検査を調達要件として書けるかが問われる。経営会議では「この種の漏えいは高度な攻撃ではなく設計の不備で起きるため、防止は運用の努力ではなく開発品質と受入検査の問題だ」と位置づけて説明する。
具体例
独立行政法人情報処理推進機構（IPA）の「安全なウェブサイトの作り方」が対策の拠り所として広く参照されており、公共調達では脆弱性診断の実施と是正を納品条件に含める例が増えている。基幹システムの外部公開部分をベンダーへ委託する場合、契約に「第三者による脆弱性診断の実施と、指摘の是正までを検収条件とする」と書けるかどうかで、稼働後に発覚した際の費用負担が変わる。
試験での引っ掛け
入力値を利用する攻撃という点でSQLインジェクションやクロスサイトスクリプティングと束ねられがちだが、狙う先が違う——こちらはサーバ上のファイルそのもので、データベースの操作でも利用者ブラウザ上の実行でもない。またアクセス権の設定だけで防げると考えるのも誤りで、Webサーバの実行権限で読める範囲は広く、入力からファイル名を組み立てない設計に直すことが本筋になる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。