ディレクトリトラバーサル

ディレクトリトラバーサル（「パストラバーサル」とも呼ばれます）は、WebサーバーやWebアプリケーション内の脆弱性を悪用するサイバー攻撃手法です。

一般に、Webサーバー管理者はユーザーがアクセスできるルートディレクトリを指定し、ユーザーがアクセス可能なファイルを特定のサブディレクトリ内に制限します。しかし、ファイル名やパスを指定するユーザー入力が適切にサニタイズされていない場合、攻撃者は「../」などの特殊な文字列を悪用して、親ディレクトリへ上位方向に移動（「トラバーサル」）する可能性があります。このような脆弱性により、悪意のあるユーザーが本来のディレクトリから抜け出し、機密ファイルや隠しファイルおよびディレクトリに不正アクセスできるようになり、情報漏えいやシステム侵害につながるおそれがあります。

ディレクトリトラバーサル攻撃を防ぐため、Web管理者は、アプリケーションスクリプトからアクセスできるディレクトリを制限するなどのセキュリティ対策を実施する必要があります（たとえば、PHPの「php.ini」ファイルで「open_basedir」を設定し、ファイルのインクルード先となるパスを制限します）。ApacheなどのWebサーバーを使用する場合、ディレクトリリスティングを防ぐには、「httpd.conf」ファイルの「Indexes」オプションを削除または無効化することが重要です。ディレクトリリスティングが有効になっていると、攻撃者がディレクトリの内容を確認できるため、命名パターンが露呈し、さらなる悪用が容易になります。

さらに、Web Application Firewall（WAF）を導入することで、ディレクトリトラバーサル攻撃を効果的に緩和できます。F5は、F5 BIG-IP Application Security Manager (ASM)で堅牢なWAF機能を提供しており、パストラバーサルや同様のWeb脆弱性からの保護に役立ちます。