Path traversal: leer y escribir ficheros fuera de su carpeta

Qué es

El path traversal (recorrido de directorios) aparece cuando una aplicación construye la ruta de un fichero con datos del usuario y no impide salir de la carpeta prevista. Con secuencias como ../ se sube de nivel hasta llegar a cualquier fichero que el proceso pueda leer o escribir.

- GET /descargar?fichero=informe.pdf HTTP/1.1
+ GET /descargar?fichero=../../../../etc/passwd HTTP/1.1

Leer permite obtener configuración con contraseñas o claves. Escribir puede ser peor: sobrescribir ficheros de la aplicación suele terminar en ejecución de código.

Dónde suele aparecer

• Descargas y visores de ficheros con el nombre en un parámetro.
• Subida de ficheros que respeta el nombre original del fichero.
• Descompresión de archivos ZIP o TAR con rutas como ../ dentro (el ataque conocido como Zip Slip).
• Plantillas, idiomas o temas cargados por nombre (?lang=es).
• Herramientas y librerías que copian o mueven ficheros a partir de datos externos.

Cómo se busca

1. Localiza parámetros que parezcan nombres de fichero o rutas.
2. Prueba ../ y sus variantes: codificadas en URL (%2e%2e%2f), doblemente codificadas, con barra invertida (..\) en servidores Windows o con rutas absolutas.
3. Si la aplicación añade una extensión o un prefijo, comprueba si se puede esquivar.
4. Para los archivos comprimidos, crea uno con una entrada cuyo nombre contenga ../ y súbelo donde se descomprima.

Para demostrar la lectura basta con un fichero del sistema sin datos sensibles. No leas claves ni datos de usuarios.

Cómo se evita

• No usar nombres de fichero del usuario: guardar un identificador y resolverlo en el servidor.
• Si no queda otra, normalizar la ruta completa y comprobar que sigue dentro de la carpeta permitida después de normalizarla.
• Al descomprimir, validar cada entrada del archivo de la misma forma.
• Ejecutar el proceso con permisos solo sobre las carpetas que necesita.

Al reportarlo

Indica si es lectura o escritura, qué ficheros quedan al alcance y con qué permisos se ejecuta el proceso. La escritura en una ruta controlada es mucho más grave que leer un fichero público del sistema.