分類
Information Security

Directory Traversal目錄遍歷

目錄遍歷（英文：Directory traversal），又名路徑遍歷（英文：Path traversal）是一種利用網站的安全驗證缺陷或用戶請求驗證缺陷（如傳遞特定字符串至文件應用程式接口）來列出伺服器目錄的漏洞利用方式。

此攻擊手段的目的是利用存在缺陷的應用程式來獲得目標文件系統上的非授權訪問權限。與利用程序漏洞的手段相比，這一手段缺乏安全性（因為程序運行邏輯正確）。

目錄遍歷在英文世界裡又名../ 攻擊（Dot dot slash attack）、目錄攀登（Directory climbing）及回溯（Backtracking）。其部分攻擊手段也可劃分為規範化攻擊（Canonicalization attack）。

資料來源：https://zh.wikipedia.org/zh-tw/%E7%9B%AE%E5%BD%95%E9%81%8D%E5%8E%86

補充資料：https://tech-blog.cymetrics.io/posts/nick/directory/

作者: stevencho

從事資訊工作二十多年，對資安極具熱情，在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理，負責 資安產品之技術支援與大型企業導入專案。此外，他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品等專業證照。此外，平常除了喜歡透過ITHelp平台及個人部落格分享文章，亦常擔任社群活動主辦者及志工，連結資安同好聯誼及共好學習，並協助對於CISSP有興趣的同學與同好準備認證考試。