問題 No.4655
Webサーバーの設定不備やインデックスファイルが存在しない場合に、ブラウザからのリクエストに対してサーバー内のファイルやディレクトリの一覧がそのままユーザーに表示されてしまう脆弱性はどれか。
【正解の解説】
ディレクトリリスティング
本屋の棚で「関係者外秘の台帳ファイル」が表に出ていて誰でも中身が覗ける状態と同じです。通常は表紙（インデックスファイル）があり中身の全一覧は見えませんが、設定のうっかりミスにより全ファイル名が丸見えになり、攻撃者に次のターゲットを見つけやすくなります。
スポンサーリンク
【その他の選択肢の解説】
クロスサイトスクリプティング
Web掲示板などに「おめでとう！当選しました」などと偽り、踏んだ人のブラウザ上で勝手に怪しいプログラムを実行させる手口です。ファイル一覧が丸見えになるディレクトリリスティングとは攻撃の仕組みも狙いも全く異なるため混同しないよう注意が必要です。
ディレクトリトラバーサル
「../」という階層を戻るコマンドをURLに悪用し、Webの公開フォルダから脱出してシステムの奥深くにあるパスワードファイル等を盗み見ます。サーバー内のファイルが見える点は似ていますが、一覧が表示されるリスティングとは異なり、指定して非公開ファイルに直接侵入するのがトラバーサルです。
オープンリダイレクト
正当なサイトに見せかけたURLを踏ませた後、裏側のプログラムで巧妙に詐欺サイトへと飛ばしてしまう仕組みです。サーバー内のファイルやディレクトリ構造をさらけ出してしまうディレクトリリスティングとは目的も発生する原因も全く異なる別のセキュリティ用語です。