Verzeichnisdurchquerung
Directory Traversal (auch „Path Traversal“ genannt) ist eine Cyberangriffsmethode, bei der Schwachstellen in Webservern und Webanwendungen ausgenutzt werden.
In der Regel legen Webserveradministratoren ein für Benutzer zugängliches Stammverzeichnis fest und beschränken den Zugriff auf Dateien in bestimmten Unterverzeichnissen. Werden jedoch benutzerseitige Eingaben, die Datei- oder Pfadnamen angeben, nicht ordnungsgemäß bereinigt, kann ein Angreifer speziell präparierte Zeichenfolgen wie „../“ ausnutzen, um in übergeordnete Verzeichnisse zu navigieren („Directory Traversal“). Solche Schwachstellen ermöglichen es böswilligen Benutzern, aus dem vorgesehenen Verzeichnis auszubrechen und sich unbefugten Zugriff auf vertrauliche oder verborgene Dateien und Verzeichnisse zu verschaffen, was zur Offenlegung von Informationen oder zur Kompromittierung des Systems führen kann.
Um Directory-Traversal-Angriffe zu verhindern, sollten Webadministratoren Sicherheitsmaßnahmen ergreifen, etwa die Verzeichnisse einschränken, auf die Anwendungsskripte zugreifen können (beispielsweise durch Konfigurieren der Einstellung „open_basedir“ in der PHP-Datei „php.ini“, um die Pfade für Dateieinbindungen zu begrenzen). Bei der Verwendung von Webservern wie Apache ist es entscheidend, die Option „Indexes“ in der Datei „httpd.conf“ zu entfernen oder zu deaktivieren, um Verzeichnisauflistungen zu verhindern. Verzeichnisauflistungen ermöglichen es Angreifern, den Inhalt von Verzeichnissen einzusehen. Dadurch werden Benennungsmuster offengelegt und weitere Ausnutzungsversuche erleichtert.
Darüber hinaus lassen sich Directory-Traversal-Angriffe durch den Einsatz von Web Application Firewalls (WAFs) wirksam abwehren. F5 bietet leistungsstarke WAF-Funktionen im F5 BIG-IP Application Security Manager (ASM), die zum Schutz vor Path Traversal und ähnlichen Web-Schwachstellen beitragen.
