ディレクトリトラバーサルの脆弱性とそれに対する攻撃手法、対策について

<h2>ディレクトリトラバーサルの脆弱性</h2>
<p>ウェブアプリケーションの中には外部からのパラメータにウェブサーバ内のファイル名を直接指定しているものがある。ファイル名指定の実装に問題がある場合攻撃者はウェブサーバ内の任意のファイルにアクセスできる。この問題をディレクトリ・トラバーサルの脆弱性と呼ぶ。</p>
<h2>解決方法</h2>
<ul>
<li>外部パラメータでウェブサーバ内のファイル名を直接してする実装を避ける。</li>
<li>ファイルを開く際は、固定のディレクトリを指定し、かつファイル名にディレクトリ名が含まれないようにする。</li>
</ul>
<p>例えば、<code>open(filename)</code>という実装でパラメータが外部からの入力で改変可能だった場合、<code>filename</code>を絶対パスや<code>..</code>などを含んだ文字列を渡されることでウェブサーバ内の任意のファイルにアクセス可能になる。そのため、アクセス可能なディレクトリを固定しかつ外部から受け付ける文字列からはファイル名だけを取得するようにコードを書く。</p>
<h2>参考文献</h2>
<p>谷口 隼祐、他．安全なウェブサイトの作り方 ウェブアプリケーションのセキュリティ実装とウェブサイトの安全性向上のための取り組み．改訂第7版．独立行政法人 情報処理推進機．2022．115p</p>
