Directory Traversal

Als Directory Traversal (oder auch Forceful Browsing) bezeichnet man eine Sicherheitslücke in einem Webserver oder einer Webanwendung, bei der durch Eingabe von URLs auf Dateien und Verzeichnisse zugegriffen werden kann, die dafür eigentlich nicht vorgesehen waren. Mögliche Ziele sind Dateien mit sensiblen Daten wie Adressdaten, Kreditkartennummern oder auch Passwörtern.

Details

Normalerweise sollte von außen nicht auf Dateien eines Webservers außerhalb des Web-Verzeichnisses oder dessen Unterverzeichnisse zugegriffen werden können. Bei einem Directory-Traversal-Angriff versucht ein Angreifer nun mittels manipulierter Pfadangaben auf Dateien außerhalb dieser Verzeichnisse zuzugreifen.

Grundlegend für diesen Angriff ist, dass man sich mit der Angabe von ../ in der Verzeichnisstruktur eine Ebene nach oben beziehungsweise mit / zur Wurzel der Verzeichnisstruktur bewegt.

Durchführung

Durch Analyse der Webanwendung versucht der Angreifer, Informationen zu gewinnen, wie Parameter und aufgerufene URLs ausgewertet werden. Dies können sowohl dynamische Formulardaten, die ungenügend geprüft werden, als auch statische Dokumente sein.

Manipulationen mit statischen Dokumenten

Im Falle von Dokumenten ist die Vorgehensweise recht einfach. Befindet sich z. B. ein PDF-Dokument mit dem Dateinamen „Jahresbericht_2008.pdf“ auf dem Server und wird dieses durch die URL https://www.firma.de/berichte/Jahresbericht_2008.pdf referenziert, so könnte der Angreifer daraus schließen, dass auch Dokumente für andere Jahre existieren und dies durch Abfragen mit entsprechend abgewandelten URLs überprüfen.

Angriffsziel können auch Backups oder alte Versionen von Skripten sein, die möglicherweise sensible Daten enthalten. Ein PHP-Skript „database.php“ kann z. B. die Zugangsdaten zu einem Daten­bank­management­system enthalten. Diese Daten werden aber nicht an den Benutzer geschickt, sondern nur intern durch den (PHP-)Interpreter zur Verbindung zur Datenbank verwendet. Existiert nun aber ein Backup dieser Datei unter dem Namen „database.php.bak“, so wird der Inhalt der Datei möglicherweise als reiner Text erkannt und direkt an den Benutzer gesendet, der auf diesem Wege die Zugangsdaten im Klartext zu Gesicht bekommt.

Manipulation von Parametern

Die Manipulation von Parametern funktioniert auf gleiche Weise. Bekommt ein Anwender beispielsweise unter der URL https://www.bank.de/kontostand?nr=12345 seine eigenen Kontodaten angezeigt, könnte er versuchen, durch Veränderung der Kontonummer in der URL die Daten zu fremden Konten zu erlangen. Damit dieser Angriff funktioniert, muss allerdings vorausgesetzt werden, dass die Anwendung den Parameter nicht insoweit überprüft, ob der Benutzer auch das Recht hat, diese Aktion durchzuführen.

Beispiel

Eine URL sehe folgendermaßen aus:

https://www.example.com/index.foo?item=datei1.html

Der GET-Parameter item diene hierbei zur Angabe einer Datei (im Beispiel datei1.html), die ausgegeben werden soll. Wenn das index.foo-Skript den Parameter-Wert nicht ausreichend prüft, liegt eine Directory-Traversal-Schwachstelle vor.

Ein Angreifer kann nun dem Skript eine andere Datei angeben, die auch in einem völlig anderen Verzeichnis liegen kann, da man in einem Pfad durch Angabe von ../ eine Verzeichnisebene nach oben gehen kann. Angenommen, das Web-Verzeichnis liege drei Verzeichnisebenen tief auf dem Laufwerk C:, so würde folgende URL auf einem Windows-Webserver die Datei C:\CONFIG.SYS ausgeben, wenn diese Datei dort existiert und das index.foo-Skript Lesezugriff auf diese Datei hat.

https://www.example.com/index.foo?item=../../../CONFIG.SYS

Die genaue Verzeichnistiefe ist einem Angreifer normalerweise zwar nicht bekannt, kann dann aber durch Ausprobieren ermittelt werden.

Ist der Webserver selbst anfällig, so könnten nicht nur beliebige Dateien ausgelesen, sondern auch beliebige Anwendungen aufgerufen werden, etwa durch:

https://www.example.com/index.foo?item=../../../Windows/System32/cmd.exe+%2fC+dir+C%3a\

Auf einem angreifbaren Webserver wird dadurch (nach erfolgter URL-Dekodierung) der Kommandozeilen-Befehl cmd.exe /C dir C:\ ausgeführt. Es wird also die Windows Eingabeaufforderung aufgerufen, die ihrerseits den nach der Befehlszeilenoption /C angegebenen Kommandozeilen-Befehl dir C:\ ausführt und sich dann beendet. Damit wird schlussendlich der Inhalt der Wurzel von Laufwerk C: jenes Servers, auf dem der Webserver läuft, zurückgeliefert.

Als Gegenmaßnahme einfach nach ../ in einem Pfad zu suchen, reicht nicht aus. Es muss auch berücksichtigt werden, dass einzelne Zeichen durch URL-Kodierung ersetzt sein könnten. (So bewirkt z. B. %2e%2e%2f in einer URL genau dasselbe wie ../.)

Rechtslage

Deutschland

In Deutschland befindet sich diese Art von Angriff in einer rechtlichen Grauzone. Insbesondere dann, wenn der Angreifer sich einen Nutzen aus den Daten verschafft, liegt eine Straftat vor – auch wenn der Ersteller die Daten scheinbar öffentlich ins Netz gestellt hat.

Weblinks

• Bundesamt für Sicherheit in der Informationstechnik (BSI): Maßnahmenkatalog und Best Practices für die Sicherheit von Webanwendungen (PDF; 870 kB)