玄関の鍵穴を覗き見される？「XPathインジェクション」という意外な落とし穴を攻略しよう
こんにちは！セキュリティの世界へようこそ。
日々、システムの裏側を守る仕事をしていると、よく「最新の攻撃手法って何ですか？」と聞かれます。でも、実は多くのインシデントは、何十年も前からある「古典的だけど厄介な手法」で引き起こされているんです。
今回お話しする「XPathインジェクション」もその一つ。
「え、XML？ XPath？ 何だか難しそう…」と思いましたか？ 大丈夫です！ 家の鍵の仕組みに例えながら、一緒に紐解いていきましょう。
—
1. XPathインジェクションって何？（家の鍵で例えると）
想像してみてください。あなたは自分の家の玄関に「名前」と「合言葉」を書いて、中に入ろうとしています。
- 正常な状態：
玄関のポスト（XMLデータベース）に「田中」と「ひみつ」と書いたメモを入れると、中の番人（XPathクエリ）が「はい、田中さんですね。合言葉も正しい。お入りください」とドアを開けてくれます。
- XPathインジェクションが起きると…：
悪い泥棒がやってきて、メモにこう書きます。
「田中」ではなく、「田中’ or ‘1’=’1」 と。
すると番人はどうなるでしょう？
「田中、または（or）1は1と等しい…？ ああ、1は1だから正しいな！ じゃあ合言葉なんて確認しなくていいや、ドアを開けよう！」
これがXPathインジェクションです。「クエリ（命令文）」の一部を書き換えて、番人に嘘の命令を信じ込ませる攻撃なんですね。
—
2. なぜXMLデータが狙われるのか？
最近のシステムではJSON形式が主流ですが、古いシステムや企業向けの複雑なデータ管理には、今でもXMLがバリバリ現役です。
XMLは「ツリー構造」でデータを管理しているので、どこに何があるかを探すための地図（XPath）が必要です。この地図をプログラムが勝手に組み立ててしまうと、泥棒が地図を書き換えて、本来なら見せてはいけない「管理者用エリア」の鍵を開けてしまう……というわけです。
—
3. 実際にどうやって防ぐのか？
「じゃあどうすればいいの？」と不安になりますよね。対策はシンプルで、「番人にメモの書き換えをさせない」ことに尽きます。
対策の基本：変数は「そのまま」渡さない
ダメな例（危険な書き方）：
// ユーザーの入力をそのまま文字列として繋げている（これがいけない！）
string xpath = “/users/user[name='” + userName + “‘ and pass='” + password + “‘]”;
これだと、先ほどの「’ or ‘1’=’1」がそのまま命令文に組み込まれてしまいます。
解決策：パラメータ化クエリ（魔法の封筒を使う）
対策の正解は、「変数は専用の封筒に入れて渡す」ことです。これを「パラメータ化」と呼びます。
// 正しい書き方（XPathの変数ライブラリを利用する）
// 「変数 $name を使うよ」とだけ教え、値は別の場所で安全にセットします
var navigator = xmlDocument.CreateNavigator();
var expr = navigator.Compile(“/users/user[name=$name and pass=$pass]”);
// 封筒に中身を詰める（ここで中身が「命令」ではなく「ただの文字」として扱われる）
var vars = new XsltContextVariable();
// ※実際の実装では使用するライブラリの変数解決機能を使います
このように書くことで、番人は' or '1'='1という文字列が来ても、「ああ、これは『田中’ or ‘1’=’1』という名前の人を探せばいいんだな」と判断し、命令として実行することはありません。泥棒のいたずらを「ただの変な名前」として処理してくれるんです。
—
4. 新人の皆さんに伝えたい、泥臭い教訓
私が現場でよく見るのは、「動けばいいや」と文字列結合でクエリを作ってしまうケースです。開発のスピードを優先した結果、後から大きなセキュリティの穴が見つかるのは本当に悲しいことです。
以下の3つを、日々の開発の「お守り」にしてください。
1. ユーザー入力はすべて「疑う」： 画面から入ってくる値は、すべて悪意があるかもしれない前提で扱いましょう。
2. ライブラリの機能を使い倒す： 「自分で文字列を組み立てる」のは、セキュリティの専門家でも避けるべきです。フレームワークやライブラリが用意している「パラメータ化」の機能を必ず使いましょう。
3. 最小限の権限： もし万が一侵入されても被害が広がらないよう、XMLデータベースにアクセスするプログラムには「最低限の読み取り権限」だけを与えておくのも、非常に効果的な防犯対策です。
—
最後に：セキュリティは「完璧」を目指さなくていい
セキュリティは、一度の対策で終わりではありません。技術は進化し、泥棒の手口も巧妙になります。
でも、「仕組みを理解して、正しい武器（対策）を使う」という姿勢さえあれば、恐れることはありません。一歩ずつ、今日学んだことを自分のコードで試してみてください。
もし何か分からないことがあれば、またいつでも聞きに来てくださいね。一緒に、より安全なデジタル社会を作っていきましょう！
コメント