公開していないファイルが読まれる理由｜ディレクトリトラバーサルの仕組みと対策。

公開していないはずのファイルが、なぜ外部から読まれてしまうのか。 その原因の一つが「ディレクトリトラバーサル」です。 ファイルの保存場所を指定する「パス」の扱いに弱点があると、アプリが想定した公開範囲を越えて、内部のファイルにアクセスされることがあります。 この動画では、フォルダーの階層と「../」の意味から、攻撃が成立する条件、アプリの権限、正規化とアクセス範囲の検査まで、紙模型のアニメーションで解説します。 「ログインしているか」と「そのファイルを渡してよいか」の違いや、シンボリックリンクで注意すべき点も取り上げます。 ▼タイムライン

• #ディレクトリトラバーサル
• #情報処理安全確保支援士