パストラバーサルとは

パストラバーサル（ディレクトリトラバーサル）は、ファイル名やパスを入力として受け取る処理に、「../」（一つ上のディレクトリ）などを含めた値を送り、本来アクセスさせるつもりのない場所のファイルを読み取らせたり、書き込ませたりする攻撃です。

仕組み

例えば、download.php?file=report.pdf のように、指定されたファイル名をそのまま使ってファイルを読み込んでいると、file=../../wp-config.php のような値を送られて、設定ファイルの内容を読み取られてしまいます。

起きる被害

• データベースのパスワードなどが書かれた設定ファイルの漏えい
• サーバーのシステムファイルの読み取り
• ファイルの書き込みができる場合は、Webシェル の設置などから RCE に発展する

対策

• 利用者の入力をファイルのパスとして直接使わない（ID とファイルの対応表を使うなど）
• 使う場合は、ファイル名だけを取り出し（PHP の basename() など）、許可したディレクトリの中にあるかを確かめる
• アプリケーションを必要最小限の権限で動かし、読み書きできる場所を限る（最小権限）

関連用語

CWE、RCE、Webシェル