디렉토리 트래버설 공격이란?

디렉토리 트래버설은 웹 애플리케이션에서 파일 경로를 조작하여 서버의 임의 파일을 읽는 공격입니다.

예시:

# 정상 요청
https://example.com/download?file=report.pdf

# 공격 요청
https://example.com/download?file=../../../etc/passwd

../로 상위 디렉토리를 탐색하여 /etc/passwd 같은 시스템 파일에 접근합니다.

방어법:

• 사용자 입력에서 ../ 필터링
• 파일 경로를 화이트리스트로 관리
• realpath()로 정규화 후 허용 디렉토리 내인지 확인
• chroot 환경 사용