ディレクトリトラバーサルを警戒すべきコード

Question

前提・実現したいこと

WordPressにて作成したHPに、Stripeを導入する予定です。

WordPressに関しては、基本的にはプラグインを使用する事が前提で作られていると認識しています。
ただ、今回はプラグインでは実現したい使用方法が出来なく、手動での組み込みに切り替えようか検討しています。

Webでの開発案件も依頼があり、知識をつけなくては行けないため、知識を広げたり、対処方法を学びたいと考え、質問をさせて頂きたいと思います。よろしくお願いいたします。

下記の「発生している問題(だと思っている)に関して、
これは、ディレクトリトラバーサルを仕掛けられる可能性があると認識しています。
こうした場合は、使いたい機能を盛り込んだ機能を、新規のプラグインとして作るするべきなのでしょうか。

発生している問題・エラーメッセージ

セキュリティー面での懸念事項です。
Stripeの「checkuot.php」へのパスが、ブラウザ上で丸見え。（該当ソースコード)

該当のソースコード

試したこと

プラグインで作った場合のコードを確認。
phpへのパスは隠蔽されていた。

ディレクトリトラバーサルの参考資料
https://www.shadan-kun.com/blog/measure/2587/

補足情報（FW/ツールのバージョンなど）

CMS：WordPress ver.5.3
プラグイン：Stripe Payments ver.2.0.25

Answer 1

『Stripeの「checkuot.php」へのパスが、ブラウザ上で丸見え』はウェブでは普通のことで、これ自体は問題なく、すくなくともディレクトリトラバーサルとは無関係です。

そのようなあやふやなセキュリティの理解で機能を自作するのは、かえってあぶないように思えます。

Comments

[Base]

ご回答、ありがとうございます。
「checkout.php」へのパスが、ブラウザ上で丸見えに関しては、それ自体は問題ないこと、安心しました。

ここで、冒頭にも記載させていただいた通り、知識をつけたいということもあり、お手数をおかけし大変恐縮ですが、もう少しご教授いただければ幸いです。

ホームページのセキュリティ対策としては、不要なファイルは公開しないことだと認識しています。

当初、ディレクトリトラバーサルという言葉も知らずに、これは問題ない現象なのかを調べ、たどり着きました。

記載したURLによると、アクセスして欲しくないファイルやディレクトリへの不正なアクセスによる攻撃と認識しました。checkout.phpには、ご存知だと思いますが、シークレットキーが記載されています。

他のサイトから、checkout.phpへアクセスされても、エラーになり応答しないため、特に問題にならないから、という認識でよろしいのでしょうか。
問題ない・・・という根拠まで、知っていく（学んでいく）のが、技術者としてやるべきことだと考えていますので、どうか、ご教授頂きたいです。

よろしくお願い致します。

[ockeghem]

checkout.phpはFORMのactionですから、「不要なファイル」ではなく、外部に積極的に公開しているファイルです。シークレットキーの用途は分かりませんが、一般的には、CSRF攻撃の文脈で外部から攻撃されないためのキーです。そして、正規の利用者はキーが分かるわけですが、それは正規のユーザーということなので、特に問題ないということです。

[Base]

ベストアンサーにさせていただきました。

FORMのactionという視点、全くなかったです。
詳しく説明していただき、とても助かりました。ありがとうございました。

ご指摘頂いた通り、しっかりとした知識をつけるために、もう少し本なども購入し、勉強したいと思います。