PHP にディレクトリトラバーサルの脆弱性

2011/06/23 S.Okabe

PHPのバージョン5.3.6以前にディレクトリトラバーサルの脆弱性がでたそうです。

ディレクトリ・トラバーサルとは，Webサーバーの管理者が公開（許可）していないファイルにアクセスする攻撃手法です。結果として、遠隔の第三者がファイルを作成したり、既存のファイルに上書きしたりする可能性があります。

トラバーサル（トラバース）は「横断する」という意味で，公開されているディレクトリから目的のディレクトリへ横断するイメージから命名されています。

WEBプログラミングでも意識していないと、見られては困るファイル・フォルダが漏洩する可能性があります。WEBでのシンボリックリンクやフォルダ表示設定、ディレクトリインデックス設定など、もろもろです。

そのほか、こちらのBLOGでも紹介されているようなミステイク・ケースもありますね。プログラマのみなさん意識した対策を心がけましょう。