Directory Traversal (auch „Path Traversal“ genannt) ist eine Cyberangriffsmethode, bei der Schwachstellen in Webservern und Applications ausgenutzt werden.
Im Allgemeinen legen Webserveradministratoren ein für Benutzer zugängliches Stammverzeichnis fest und beschränken den Dateizugriff der Benutzer auf bestimmte Unterverzeichnisse. Wenn jedoch die vom Benutzer bereitgestellten Eingaben zur Angabe von Dateinamen oder Pfaden nicht ordnungsgemäß bereinigt werden, kann ein Angreifer speziell erstellte Sequenzen wie „../“ ausnutzen, um nach oben zu übergeordneten Verzeichnissen zu navigieren („traverse“). Solche Schwachstellen ermöglichen es böswilligen Benutzern, aus einem bestimmten Verzeichnis auszubrechen und unberechtigter Zugriff auf vertrauliche oder versteckte Dateien und Verzeichnisse zu erhalten, was möglicherweise zur Offenlegung von Informationen oder zur Gefährdung des Systems führen kann.
Um Directory-Traversal-Angriffe zu verhindern, sollten Webadministratoren Sicherheitsmaßnahmen implementieren, wie etwa die Einschränkung der Verzeichnisse, auf die Application zugreifen können (z. B. durch Konfigurieren der „open_basedir“-Einstellungen in der PHP-Datei „php.ini“, um die Dateieinschlusspfade einzuschränken). Wenn Sie Webserver wie Apache verwenden, ist das Entfernen oder Deaktivieren der Option „Indexes“ in der Datei „httpd.conf“ entscheidend, um die Auflistung von Verzeichnissen zu verhindern. Durch die Verzeichnisauflistung können Angreifer den Inhalt von Verzeichnissen einsehen und so Benennungsmuster offenlegen und weitere Ausnutzungsversuche erleichtern.
Darüber hinaus können Directory-Traversal-Angriffe durch den Einsatz von Web Application Firewalls (WAFs) wirksam abgeschwächt werden. F5 bietet robuste WAF-Funktionalität im F5 BIG-IP Application Security Manager (ASM) , die zum Schutz vor Pfaddurchquerung und ähnlichen Web-Schwachstellen beiträgt.