Обход каталогов
Что такое Обход каталогов?
Обход каталоговАтака, использующая последовательности пути вроде ../ для выхода за пределы предусмотренного каталога приложения и чтения или записи произвольных файлов на сервере.
Обход каталогов (path traversal) затрагивает приложения, которые формируют пути файловой системы из пользовательского ввода без надлежащей канонизации. Внедряя последовательности ../, .., их URL-кодированные варианты (%2e%2e%2f) или абсолютные пути, злоумышленник заставляет приложение обращаться к файлам за пределами целевой папки, раскрывая конфигурационные секреты, исходный код или системные файлы вроде /etc/passwd. В сценариях с записью та же уязвимость позволяет перезаписывать файлы и достигать удалённого выполнения кода. Защита: строгая валидация имён по белому списку, разрешение путей с проверкой, что они остаются внутри ожидаемого корня, использование безопасных API фреймворка и запуск сервисов от учётных записей без доступа к чувствительным файлам.
● Примеры
- 01
Эндпоинт загрузки с file=../../etc/passwd возвращает системный файл паролей.
- 02
Просмотрщик изображений идёт по ..%2f..%2fwindows%2fwin.ini и раскрывает конфигурационный файл Windows.
● Частые вопросы
Что такое Обход каталогов?
Атака, использующая последовательности пути вроде ../ для выхода за пределы предусмотренного каталога приложения и чтения или записи произвольных файлов на сервере. Относится к категории Атаки и угрозы в кибербезопасности.
Что означает Обход каталогов?
Атака, использующая последовательности пути вроде ../ для выхода за пределы предусмотренного каталога приложения и чтения или записи произвольных файлов на сервере.
Как защититься от Обход каталогов?
Защита от Обход каталогов обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Обход каталогов?
Распространённые альтернативные названия: Path traversal, Атака dot-dot-slash.