Path Traversal 경로 탐색 취약점

경로 탐색 취약점은 외부에서 받은 파일 경로를 제대로 제한하지 않아 허용한 디렉터리 밖의 파일에 접근할 수 있는 문제입니다.

다운로드나 문서 열기 기능이 입력받은 파일명을 경로로 결합할 때 발생할 수 있습니다. 상대 경로와 절대 경로, 인코딩과 운영체제의 경로 해석 차이를 고려해야 하며 단순한 문자 제거만으로 안전성을 보장하기 어렵습니다.

공개 문서 폴더의 자료를 내려받아야 하는 기능이 다른 위치의 파일까지 읽는 상황입니다. 사용자가 고르는 문서 식별자와 서버 내부 파일 경로를 분리하면 위험을 줄일 수 있습니다.

상대 경로와 절대 경로

상대 경로는 기준 위치와 결합해 해석하고 절대 경로는 전체 위치를 지정합니다. 어느 형식을 허용하는지와 최종 해석 위치를 함께 제한해야 합니다.

파일 포함과의 차이

경로 탐색은 허용 범위 밖의 경로 접근에 초점을 둡니다. 파일 포함 취약점은 포함 기능을 악용하는 문제로 파일을 읽는지 실행에 포함하는지에 따라 영향이 달라집니다.

다운로드, 업로드 후처리와 템플릿 선택처럼 입력을 파일 위치로 사용하는 기능에서 확인합니다. 정규화한 최종 경로와 실제 파일 접근 권한을 함께 제한합니다.

특정 기호가 없다는 검사만으로 충분하지 않습니다. 웹 서버 설정과 파일 시스템 권한도 영향을 주므로 운영체제별 차이를 확인해야 합니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

OWASP: Path Traversal

함께 이해할 용어: Authorization 권한 부여, Least privilege 최소 권한