テンプレートエンジンは「魔法のメモ帳」？それとも「鍵のかかっていない玄関」？
こんにちは。セキュリティの世界へようこそ。今日は、少し専門的だけど、知っておかないと「家ごと盗まれてしまう」ほど恐ろしい「SSTI（サーバーサイドテンプレートインジェクション）」という攻撃についてお話しします。
「インジェクション」と聞くと難しそうですよね。まずは、身近な例えから入っていきましょう。
—
1. テンプレートエンジンを「魔法のメモ帳」に例えてみる
Webサイトを作るとき、毎回同じヘッダーやフッターを書くのは大変ですよね。そこで開発者は「テンプレートエンジン（Jinja2やFreeMarkerなど）」というツールを使います。
これは例えるなら「穴埋め式の便箋」です。
「こんにちは、{{ 名前 }}さん！」と書いておけば、{{ 名前 }}の部分に「山田さん」と入れるだけで、自動的に「こんにちは、山田さん！」という手紙（Webページ）を作ってくれる魔法の道具です。
ここに潜む「泥棒の入り口」
通常、この{{ }}の中には、プログラム側が用意した安全なデータが入ります。しかし、もし泥棒（攻撃者）が、このメモ帳に勝手に書き込めるようになったらどうなるでしょうか？
攻撃者は「名前」を入れる場所に、ただの名前ではなく、「サーバーを乗っ取れ！」という命令文を書き込みます。すると、テンプレートエンジンは「ああ、これは名前じゃなくて実行すべき命令なんだな」と勘違いして、サーバーを操作してしまうのです。
これがSSTIの正体です。鍵をかけ忘れた玄関から、泥棒が堂々と入り込んで、家中の家具（サーバーの権限）を自由に動かしてしまう状態ですね。
—
2. なぜ「RCE（リモートコード実行）」まで発展するのか？
SSTIが恐ろしいのは、単にWebページの表示が崩れるだけでは済まないからです。攻撃者は、テンプレートエンジンが持っている「言語の機能」を悪用します。
例えば、PythonのJinja2というエンジンを使っている場合、攻撃者は以下のような文字列を忍び込ませます。
{# 本来は名前が入る場所に、こんな命令を仕込まれる #}
{{ self.__init__.__globals__.__os__.popen(‘ls’).read() }}
これを見たプログラムは、「ああ、この人は『ファイルの一覧を表示しろ』って言ってるんだな」と解釈し、サーバーの中身を全部さらけ出してしまいます。 これが「RCE（リモートコード実行）」です。
—
3. 「一歩ずつ」対策を学んでいきましょう！
「そんなの、怖くて開発できないよ！」と思うかもしれませんが、大丈夫です。対策は意外とシンプルなんです。
対策①：ユーザー入力を「そのまま」流し込まない
一番の鉄則は、ユーザーからの入力をテンプレートの命令として解釈させないことです。テンプレート内にユーザー入力を直接埋め込むのではなく、必ず「変数」として渡すようにしましょう。
【ダメな例（脆弱な書き方）】
ユーザーの入力をそのままテンプレート文字列に結合してしまっている
user_input = request.args.get(‘name’)
template = f”Hello {user_input}!”
render_template_string(template) # ここでインジェクションが発生！
【良い例（安全な書き方）】
変数として渡せば、テンプレートエンジンはそれを「ただの文字列」として扱う
user_input = request.args.get(‘name’)
render_template_string(“Hello {{ name }}!”, name=user_input)
対策②：サンドボックス環境を使う
最近のテンプレートエンジンには、危険な命令を実行できないようにする「サンドボックス機能」が備わっているものがあります。家で例えるなら、「特定の部屋からは一歩も外に出られないようにする」ようなものです。
—
4. 現場のプロからのアドバイス：多層防御の考え方
技術的な対策に加えて、もう一つ大切なのは「防犯意識」です。
- 入力チェック（バリデーション）: ユーザーが入力できる文字を、最初から「名前なら英数字だけ」のように厳しく制限しましょう。
- 権限の最小化: 万が一、サーバーに侵入されても被害が広がらないよう、Webサーバーを実行するアカウントには、必要最低限の権限しか与えないようにしてください。
セキュリティ対策は、一度やって終わりではありません。家の鍵を毎日確認するのと同じように、開発の際にも「これは本当に安全な渡し方かな？」と一度立ち止まって考える習慣をつけていきましょう。
最初は難しく感じるかもしれませんが、こうして一つずつ知識を深めていくことが、結果として最強の防御壁を作ることにつながります。焦らず、一緒に学んでいきましょうね！
コメント