こんにちは！セキュリティの世界へようこそ。
新人のIT担当者や、これからセキュリティの勉強を始める開発者の皆さん、日々の開発やインフラ管理、本当にお疲れ様です！
アプリケーションを作っていると、「ユーザーからのファイルのリクエストを受け付けて、サーバーの中にある画像やドキュメントを返す」という機能を実装する場面がよくありますよね。例えば、プロフィール画像を表示したり、PDFの報告書をダウンロードさせたりする機能です。
一見、とても単純で便利な機能に見えますが、ここに少し気を抜くだけで、サーバーの中身が丸見えになってしまう恐ろしい落とし穴が潜んでいます。それが今回テーマにする「パストラバーサル（Path Traversal）」です。
今回は、この攻撃がどうやって行われるのかを「家の鍵と泥棒」の例えを使って分かりやすく解き明かし、さらにそれをピタッと防ぐための実践的な対策を一緒に学んでいきましょう！一歩ずつ丁寧に解説しますので、安心してついてきてくださいね。
—
1. パストラバーサルってなに？（家の鍵の例え話）
まずは、パストラバーサルがどんなものかイメージするために、私たちの身近な「おうちの鍵」に置き換えて考えてみましょう。
想像してみてください。あなたは自分の家（Webサーバー）に住んでいます。リビングの棚（公開フォルダ）には、お客さんに見せても良いアルバム（画像ファイル）が置いてあります。
あなたは、お隣さんが遊びに来たときのために、玄関のドアに「リビングのアルバムを取ってきてね」と頼める小さなポストを作りました。
正常なお隣さんは、こうお願いしてアルバムを取ってもらいます。
- 「
family.jpgをちょうだい！」 → リビングの棚からfamily.jpgを渡す（大成功！）
ところが、もし悪意を持った泥棒がやってきたらどうなるでしょうか？
泥棒は、ただアルバムが欲しいわけではありません。あなたの家の中をくまなく探し、タンスの奥にしまってある「通帳（パスワードファイルやシステムの重要設定）」を盗み出したいのです。
泥棒は、ポスト越しにこう叫びました。
- 「
../（一つ上の階層、つまり廊下に出て）、さらに../（玄関を出て）、そこからお隣の家のタンスにあるpasswords.txtを取ってきて！」
この、../（ドットドットスラッシュ）を使って、本来見せてはいけない安全なエリアから抜け出し、上の階層や別のフォルダをこっそり覗き見てしまう攻撃を「パストラバーサル（別名：ディレクトリトラバーサル）」と呼びます。
—
2. 攻撃のメカニズム：コードで見る危険な状態
では、これが実際のプログラム（Webアプリ）の裏側でどう起きているのか、PHPのコードを例に覗いてみましょう。
以下のコードは、「URLのパラメータからファイル名を受け取って、そのまま読み込んで表示する」という、よくある（そして非常に危険な）実装です。
<?php
// 【危険な実装例】
// ユーザーからの入力をそのままファイルパスに使ってしまっています
$filename = $_GET['file'];
// 公開用のフォルダのパス
$base_dir = "/var/www/html/uploads/";
// 入力されたファイル名をそのまま結合する
$filepath = $base_dir . $filename;
// ファイルが存在すれば読み込んで表示する
if (file_exists($filepath)) {
echo file_get_contents($filepath);
} else {
echo "ファイルが見つかりません。";
}
?>一見すると、「uploads/ という安全なフォルダの中を見てね」となっているので問題ないように思えますよね。しかし、ここに攻撃者が現れます。
攻撃者は、ブラウザのURLに次のように入力してアクセスします。
http://example.com/download.php?file=../../../../etc/passwd
プログラムの裏側では、次のような処理が行われてしまいます。
1. $base_dir の中身： /var/www/html/uploads/
2. 結合される $filename： ../../../../etc/passwd
3. 完成する $filepath： /var/www/html/uploads/../../../../etc/passwd
LinuxなどのOSのファイルシステムは賢いので、../ が来ると「一個上のフォルダに戻るんだな」と解釈します。その結果、uploads フォルダを飛び出し、最終的にサーバーの根幹である /etc/passwd（ユーザーアカウントの一覧が書かれた重要なファイル）を指し示してしまうのです！
これが、パストラバーサルの恐ろしい仕組みです。
—
3. どうやって防ぐの？実践的な防御アプローチ
「うわっ、怖い！じゃあどうやって対策すればいいの？」と思いますよね。
セキュリティの世界では、何重にも備えをする「多層防御（たそうぼうぎょ）」が基本です。今回は特に効果的な2つのアプローチを優しく解説します。
アプローチ①：ユーザーからの入力を「信用しない」（パスの正規化とホワイトリスト）
基本中の基本は、「ユーザーが入力した文字をそのままファイル名として使わないこと」です。泥棒が ../ という文字を入れてきたら、それをピシャリと拒絶するか、無効化しなければなりません。
PHPには、パスを綺麗に整えて絶対パスに変換してくれる realpath() という便利な関数があります。これを使って、「本当に安全なフォルダの中にファイルがあるか」をチェックするコードを見てみましょう。
<?php
// 【安全な実装例】
$filename = $_GET['file'];
$base_dir = "/var/www/html/uploads/";
// 1. 入力されたパスを結合し、実際の絶対パスに変換する
// realpath() は "../" などの相対パスを綺麗に計算して実際の場所を特定してくれます
$filepath = realpath($base_dir . $filename);
// 2. 厳重なチェック：
// ・ファイルが実際に存在するか ($filepath !== false)
// ・かつ、指定した安全なフォルダ ($base_dir) の中で始まっているか
if ($filepath && strpos($filepath, realpath($base_dir)) === 0) {
// 安全が確認できたのでファイルを表示する
echo file_get_contents($filepath);
} else {
// 怪しいアクセスは弾く！
header("HTTP/1.1 403 Forbidden");
echo "アクセスが拒否されました：不正なファイルパスです。";
}
?>このように、「本当に目的のフォルダの中にファイルがあるか？」をプログラムのコードでガチガチに確認するのが一つ目の強力な防御策です。
—
アプローチ②：ファイルシステムの権限とchrootによる「牢屋（ジェイル）」の構築
アプリ側のコードでどれだけ頑張っても、人間が書くものなのでいつかうっかりミス（バグ）が出るかもしれません。そこで、「もしアプリが乗っ取られても、サーバー全体を奪われないようにする」ためのインフラ側の対策が重要になります。
ここで登場するのが、「最小権限の原則」と「chroot（チェールルート）」です。
1. 最小権限の原則（お小遣い帳のルール）
Webサーバーを動かしているプログラム（ApacheやNginx、PHP-FPMなど）に、サーバー全体の管理者権限（root ユーザー）を与えてはいけません。
もし管理者権限で動いていると、パストラバーサルを許した瞬間にサーバー全体のファイルを書き換えられてしまいます。
Webサーバー用の専用の権限（例: www-data や nginx など）を作り、そのユーザーには「自分が使うフォルダ以外は一切触らせない（読み書き権限を与えない）」ように設定しましょう。
2. chroot環境（見せかけの宇宙を作る）
さらに強力なのが chroot という技術です。
これは、特定のプロセスから見て「ここが世界のすべて（ルートディレクトリ / ）だよ」と思い込ませる技術です。例えるなら、「広大なマンションの一室だけに閉じ込められた状態（牢屋 / ジェイル）」を作るようなものです。
もし攻撃者がパストラバーサルを使って ../ を連発し、「外の世界に出よう！」と試みたとしても、chroot環境の中では、そこがもう世界の端っこです。それ以上上の階層には絶対に脱出できません。
設定のイメージ（LinuxのOpenSSHや特定のサービスをchroot化する際の設定例など）：
# chroot環境のディレクトリ構成イメージ
/var/chroot/webapp/ <-- ここがこのアプリにとっての「一番上の階層（/）」になる
├── bin/
├── etc/
└── html/ <-- 実際のWeb公開フォルダ
└── uploads/ <-- ユーザーがアクセスできる限界の場所このように、ファイルシステムレベルで行動範囲を厳しく制限しておくことで、万が一アプリに脆弱性が見つかったとしても、被害を最小限（サンドボックス内）に抑え込むことができるのです。
—
4. まとめ：一歩ずつ安全なシステムを作っていこう
お疲れ様でした！今回はパストラバーサルの仕組みと、その強力な防御策について見てきました。
- パストラバーサルとは？
../ を使って、本来見せてはいけないフォルダの裏側を覗き見ようとするサイバー攻撃のこと。
- どうやって防ぐ？
1. ユーザーの入力をそのまま信じず、realpath() やホワイトリストで厳しくチェックする。
2. アプリに必要最小限の権限しか与えず、chroot などの技術を使って行動範囲を制限する（多層防御）。
セキュリティの対策と聞くと、「なんだか難しそう…」「覚えることがたくさんあって大変だ…」と感じてしまうかもしれません。でも大丈夫です。最初から完璧なシステムを作れる人はいません。
「あ、ここはユーザーの入力をそのまま使っちゃいけないんだな」「このフォルダのアクセス権限は厳しくしておこうかな」と、日々の開発の中で一つずつ意識を高めていくことが、何よりも強力なセキュリティ対策につながります。
これからも一緒に、安全で頼られるエンジニアを目指して一歩ずつ学んでいきましょう！
コメント