「あなたの家の『合鍵』、勝手に作られていませんか？」XPathインジェクションの仕組みと対策
こんにちは！セキュリティの世界へようこそ。今日は、少しマニアックだけど、知っておかないと足元をすくわれる「XPathインジェクション」についてお話しします。
「XML？ XPath？ 何だか難しそう…」と思うかもしれませんが、大丈夫。まずは身近な「家の防犯」に例えて、この攻撃がどれほど恐ろしいか、そしてどうやって防ぐのかを一緒に紐解いていきましょう。
—
1. XPathインジェクションって、結局何なの？
皆さんの家の玄関には「鍵」がありますよね。そして、その鍵を使って「中にある特定の部屋」を開けるための「案内人」がいたとします。
XMLデータというのは、いわば「情報の整理棚」です。そして、XPath（エックスパス）というのは、その棚のどこに何があるかを指示する「地図のような指示書」です。
泥棒のやり口：案内人を騙す
もし、あなたが「この名前の人のデータを探してきて」と案内人に頼む際、案内人が悪意ある偽の指示書を信じ込んでしまったらどうなるでしょう？
「田中さんのデータを見せて」と頼んだはずが、攻撃者が細工した呪文（クエリ）によって、案内人が「棚の中身を全部見せて！」「パスワードのリストも全部出して！」と勘違いして、情報をバラまいてしまう。これがXPathインジェクションの正体です。
本来なら「見えないはずの領域」にアクセスできてしまう。これが、この攻撃の最大のリスクなんです。
—
2. なぜ攻撃が成功してしまうのか？
多くの開発現場でやりがちな「危ない書き方」を見てみましょう。
// 【危険な例】ユーザー入力をそのままXPathに組み込んでいる
let userName = userInput; // ユーザーが入力した値（例: “田中”）
let query = “/users/user[name='” + userName + “‘]/password”;
// これだと、もしユーザーが ‘ or ‘1’=’1 と入力したら…
// query は “/users/user[name=” or ‘1’=’1′]/password” になり
// 全ユーザーのパスワードが漏洩してしまいます！
攻撃者は、入力欄に ' or '1'='1 のような「魔法の言葉」を混ぜることで、プログラムのロジックを無理やり書き換えてしまうんです。「田中さん」という特定の人物を探すはずが、「全員のパスワードを見せる」という指示にすり替わってしまうのですね。
—
3. 「合鍵」を渡さず、本人確認を徹底しよう！
では、どうすれば防げるのでしょうか？一番の特効薬は「パラメータ化（クエリのテンプレート化）」です。
家の鍵に例えるなら、「直接、口頭で場所を教えるのではなく、あらかじめ決まった穴にしか入らない専用の鍵を渡す」という方法です。
安全な実装のポイント
多くのプログラミング言語では、XPathを構築する際に「変数を直接埋め込まない」仕組みが用意されています。
// 【安全な例】変数（パラメータ）を分離する手法
// 検索条件を直接文字列結合せず、プレースホルダーを使います
var xPath = “/users/user[name=$name]/password”;
var resolver = new XmlNamespaceManager(doc.NameTable);
// 実行時に値を安全に代入する（これなら悪意あるコードもただの文字列として扱われます）
var expr = XPathExpression.Compile(xPath);
expr.AddVariable(“name”, “田中”); // ここで入力を渡すので、細工は無効化されます
このように、「指示書（クエリ）」と「中身（データ）」を分けることで、入力値がどんなに怪しい呪文であっても、システムはそれを「ただの文字列」として処理してくれます。これなら安心ですよね！
—
4. 今日からできる「守り」の鉄則
最後に、開発現場で明日から使えるチェックリストをまとめました。
- 入力値は信用しない： ユーザーからの入力は、すべて「毒が入っているかもしれない」と考えてください。
- ホワイトリストで制限する： 入力されてくる値が「数字だけ」なら、数字以外は即座に弾く。これだけで攻撃の9割は防げます。
- ライブラリの力を借りる： 素人が手作りでXPathクエリを組み立てるのは避け、言語標準のセキュアなライブラリやフレームワークの機能を使いましょう。
- 最小権限の原則： アプリケーションがアクセスできるXMLの範囲を最小限に絞りましょう。もし漏洩しても、被害を最小限に抑えることができます。
—
おわりに
セキュリティ対策は、一度やって終わりではありません。家の鍵を最新のものに変えても、窓を開けっ放しにしていれば意味がないのと同じです。
まずは「自分の書いているコードが、どこで外部からの入力を受け取っているか」を意識することから始めてみてください。一歩ずつ、確実に。あなたの書くコードが、誰かの大切な情報を守る強力な盾になることを応援しています！
何か分からないことがあれば、いつでも聞いてくださいね。一緒に学んでいきましょう！
コメント