ディレクトリトラバーサル

Webアプリケーションのファイルパス指定の脆弱性を悪用し、「../」などの文字列で上位ディレクトリを辿り、本来アクセスできないファイルを不正に閲覧する攻撃。

ファイル名の指定に「../」などを混ぜて、本来公開していない上位ディレクトリのファイルを読み出す攻撃。パス名の直接指定を避け、入力値を検査することで防ぐ。

ファイル名を指定するパラメータに「../」などの相対パスを混ぜ、公開範囲外のファイルを読み出させる攻撃。パスワードファイルや設定ファイルの窃取につながる。ファイル名を直接受け取らない設計や絶対パスの正規化で防ぐ。

Webアプリケーションのファイルパス指定の脆弱性を利用して、「../」などの相対パス表記により、本来アクセスが許可されていないディレクトリやファイルに不正にアクセスする攻撃。対策としてパス名やファイル名をパラメータとして受け取らない設計、入力値のバリデーションがある。

ファイル名を指定する入力値に「../」などの上位のディレクトリをたどる文字列を含めて、Webサーバ上の公開を想定していないファイルを読み出したり、書き換えたりする攻撃。パストラバーサルとも呼ばれ、ファイル名を外部から直接指定させない設計や、ディレクトリ名を取り除いて扱う実装で対策する。

パスワードを固定し、利用者IDのほうを次々に変えて試す攻撃。同一IDへの連続失敗を検知するアカウントロックを回避できるため、ログイン試行の総量監視などが必要になる。

ログイン中の利用者に、本人の意図しないリクエストを別サイト経由で送信させ、退会や送金などの操作を実行させる攻撃。処理ごとに秘密のトークンを埋め込んで検証することで防ぐ。

透明化した別ページを重ねて表示し、利用者が見えているボタンとは異なる要素をクリックさせる攻撃。意図しない設定変更や投稿をさせられる。

Webアプリケーションの入力値にOSのコマンドを紛れ込ませ、サーバ上で不正に実行させる攻撃。ファイルの窃取や削除、他のサーバへの侵入の踏み台化を招く。

利用者のWebブラウザにマルウェアを仕込み、正規サイトへの通信内容を画面表示はそのままに書き換える攻撃。インターネットバンキングの送金先を差し替える不正送金に使われる。

送信元IPアドレスを偽装してパケットを送る攻撃。アクセス制御の回避や攻撃元の隠蔽、反射型DDoS攻撃に用いられる。