ディレクトリトラバーサルについて考える | 株式会社サイバーブレーン | 東京都豊島区のホームページ・WEB制作会社
今更ですが、ある案件で認証はあるもののファイルのアップロード作成があったので、改めて考えてみる。「ディレクトリトラバーサル」 HTTPのリクエストURIで../../etc/xxx等としてもこれはHTTPサーバーが400のBad Requestを返却する。RFC2616でリクエストURIは絶対パスと定義されているので、相対パスを指定した事で400のエラーステータスになる。 これをブラウザで試すと、ブラウザはHTTPのリクエストURIは、絶対パスでなければならないことをわかって作られているので、絶対パスに置き換えられてHTTPサーバーにリクエストを行うので、絶対パスが一致すれば200で応答し、一致しなければ404で応答が変えることになる。 ですので、通常はあまり意識することはないと思います。 しかし、ファイルのアップロード或いは引数からのファイルオープンの場合は、十分注意しなければならない。
ディレクトリトラバーサル ‐ 通信用語の基礎知識
"../../../etc/passwd" のように相対パスを書き連れた値がopen文などの引数に入り、相対パスの機能で任意のファイルが読み出せてしまうというもの。 システム内のディレクトリを自由に横断することから、ディレクトリトラバーサルと呼ばれる。 CGIプログラムという前提で記述。 #!/usr/bin/perl use strict; use CGI; my $cgi = new CGI; my $option = $cgi->param('opt') my $filename = "/usr/hoge/data/$option"; my $fp; open($fp, $filename) or die "File Cannot Open '$filename'"; my $ret_data = phaseData($fp); close($fp); print $ret_data
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
