ketyiaの学んだこと議事録

このサイトでは学んだことを記事にまとめていきます

ウェブ・セキュリティ基礎試験(徳丸試験)の勉強 ⑮ディレクトリトラバーサル

ウェブ・セキュリティ基礎試験(徳丸試験)の勉強 ⑮ディレクトリトラバーサル


こんばんわ!
世間では徳丸試験といわれている、ウェブ・セキュリティ基礎試験に挑戦しようということで、いつものごとくアウトプットで記事にまとめていきます。

今回は第十五回目のディレクトリトラバーサルについてまとめます。

ディレクトリトラバーサル


アプリケーションの意図しないファイルに対して閲覧や改ざん、任意のスクリプト実行やファイル削除を行うことができる脆弱性です。

以下の原因で発生します

・ファイル名を外部から指定できる

・ファイル名として絶対パス相対パスの形で異なるディレクトリを指定できる

・組み立てたファイル名に対するアクセスの可否をチェックしていない

対策は下記です

・外部からファイルを指定できる使用を避ける

・ファイル名にディレクトリ名が含まれないようにする

・ファイル名を英数字に限定する

ファイル公開


機密情報が公開ファイルディレクトリに置かれていることによって、情報漏洩が発生する可能性があります。アクセス制限がかかっていないと誰でも閲覧できます。

また、ファイルのURLは下記にて知ることができます。

ディレクトリ・リスティングが有効

・ファイル名が日付やユーザ名、連番など類推可能

・ありがちなファイル名

脆弱性等で情報を盗む

対策はファイルを安全な場所に格納することです。

ここまでです。
読んでいただきありがとうございます