【入門編】アップロードされたファイルの実行を防ぐディレクトリ設定 – アプリケーションセキュリティ & 安全な開発防御ガイド

こんにちは。現場の最前線で泥臭いインシデント対応を続けているセキュリティエンジニアです。

今日は、「Webサイトの画像アップロード機能」を題材に、なぜそこが攻撃者の格好の標的になるのか、そしてどうやって「鉄壁の守り」を築くのかを、一緒に紐解いていきましょう。

「ファイル一つアップロードできるだけで、そんなに大事になるの？」と思うかもしれません。でも、実はここ、攻撃者にとっては「家の中に合鍵を隠す」のと同じくらい致命的な穴になり得る場所なんです。

—

まず、想像してみてください。あなたのWebサイトを一つの「家」だとします。画像投稿機能は、「郵便受け」のようなものです。

本来、郵便受けには手紙（画像データ）だけが届くはずですよね。でも、もし攻撃者が郵便受けの中に「こっそり裏口を開けて、家全体を乗っ取れる魔法の鍵（悪意のあるスクリプト）」を忍ばせたらどうなるでしょう？

攻撃者は、PHPやPythonといったプログラムコードを「画像ファイル」のふりをしてアップロードします。そして、Webサーバーがそのファイルを「ただの画像」としてではなく、「実行すべき命令書」として読み取ってしまった瞬間、サーバーは攻撃者の言いなりになってしまうのです。

これが、いわゆる「任意コード実行」という攻撃のメカニズムです。

—

一番の対策は、「アップロードされた場所では、絶対にプログラムを実行させない」というルールをサーバーに叩き込むことです。

家で言えば、「この部屋にあるものは、どんなに形が怪しくても絶対に開けてはいけない（実行してはいけない）」という厳格なルールを設けるイメージです。

Apacheを使っている場合、アップロード先のディレクトリに以下の .htaccess ファイルを置いてみてください。

このディレクトリ内ではPHPなどのスクリプトを一切動かさない

# どんなアクセスも「禁止」にする
Order Allow,Deny
Deny from all

静的ファイルとして配信する設定を強制する
php_flag engine off

この設定は、「万が一、攻撃者がPHPファイルをアップロードしても、サーバーはそれをただの文字の羅列として扱い、プログラムとして動かすことはない」という強い拒絶の意思表示です。

—

最近のモダンな環境ではNginxがよく使われますね。Nginxの場合は設定ファイル（nginx.confなど）で制御します。

location /uploads/ {
# アップロードディレクトリ内でのPHP実行を完全に無効化
location ~ \.php$ {
deny all;
}

# 念のため、画像以外の怪しいファイルも実行させない
# 正しいMIMEタイプ（画像だけ）を強制する設定
default_type application/octet-stream;
}

ここで重要なのは、「サーバーに何がアップロードされても、絶対に実行権限を与えない」という設定を、Webアプリケーションのロジックとは切り離して、インフラ側でガチガチに固めてしまうことです。

—

技術的な設定も大事ですが、以下の「基本の防犯」もあわせて確認してください。

1. アップロード先はWeb公開ディレクトリの「外」にする

一番安全なのは、Webサーバーから直接アクセスできない階層に保存し、プログラム経由で画像を表示する方法です。郵便受けを家の中に作らず、敷地の外の安全な場所に置くイメージですね。

2. ファイル名にランダムな文字列を使う

攻撃者が自分でアップロードしたファイルにアクセスしようとしても、ファイル名が推測不能なハッシュ値（例: a7f9...jpg）になっていれば、URLを直接叩くことができません。

3. 拡張子だけでなく、中身をチェックする

拡張子を .jpg に書き換えただけのプログラムがアップロードされることがあります。ファイルのヘッダー（中身のバイト列）を見て、本当に画像データかどうかを検証するライブラリを使いましょう。

—

セキュリティの世界に「100%安全」は存在しません。しかし、今回お伝えした「ディレクトリごとの実行権限剥奪」は、攻撃者が最も嫌がる「泥臭いけれど極めて強力な防御」の一つです。

「面倒だな」と思う設定一つひとつが、将来の大きなインシデントを防ぐための防犯カメラであり、防犯砂利になります。

一歩ずつで構いません。まずは開発環境のディレクトリ設定から見直してみてください。あなたのシステムが、今日よりも少しだけ強固になることを応援しています！