鍵穴を覗き見る「XPathインジェクション」：データ泥棒を追い出すための防犯術
こんにちは！セキュリティの現場で日々、複雑な攻撃と対峙しているエンジニアです。
今日は「XPath（エックスパス）インジェクション」という、少し名前が仰々しい攻撃についてお話しします。難しそうに聞こえますが、実は「家の鍵をどう管理するか」という日常的な防犯と同じ考え方で理解できるんです。
新人の開発者の方や、これからセキュリティを学びたいという方に、現場の泥臭い知見を交えて優しく紐解いていきますね。一歩ずつ、一緒に学んでいきましょう！
—
1. XPathインジェクションって何？（身近な例え話）
まずは「XPath」という言葉を整理しましょう。XMLという形式で書かれた巨大な住所録やデータ庫があると想像してください。XPathは、その中から特定のデータ（例えば「田中さんの電話番号」）を探し出すための「魔法の地図」のようなものです。
では、XPathインジェクションとは何か？
家の中を探そうとしている泥棒が、玄関の鍵穴に「特殊な細工」をして、本来なら開けられないはずの金庫の扉まで開けさせてしまう行為です。
通常、プログラムは「IDが101の人の情報をちょうだい」と正しい地図を渡します。しかし、攻撃者はここに「ついでに、管理者全員のパスワードのリストもちょうだい！」という余計な指示を書き加えます。これがインジェクション（注入）です。
—
2. なぜ悪さができるのか？（攻撃のメカニズム）
例えば、以下のようなコードがあったとします。これはユーザー名からデータを検索する仕組みです。
// 危険な書き方の例：ユーザー入力をそのまま結合している
string query = “/users/user[name='” + inputName + “‘]/password”;
もし、inputName に普通に「Tanaka」と入れたら、プログラムは正しく田中さんのパスワードを探しに行きます。
しかし、攻撃者が名前の欄に ' or '1'='1 と入力したらどうなるでしょう？
プログラムが受け取る命令はこう書き換わります。
"/users/user[name='' or '1'='1']/password"
「名前が空か、あるいは1=1（常に正しい）なら全部見せろ」という命令に化けてしまうのです。結果、システムは全員のパスワードを無防備に差し出してしまうことになります。これが「盲点」を突かれる瞬間です。
—
3. どうやって防ぐの？（泥棒を入れないための鉄則）
ここからは現場のエンジニアとして、絶対守ってほしい「防犯対策」を伝授します。
対策①：変数を「部品」として切り離す（パラメタライズド・クエリ）
一番の解決策は、入力値を直接命令文に混ぜないことです。代わりに「変数」という空き箱を用意します。
// 安全な書き方：変数を外から注入するイメージ
// XPathEvaluatorなどは、入力値を「ただの文字列」として扱い、命令としては実行しません
var resolver = new XmlNamespaceManager(new NameTable());
var expr = XPathExpression.Compile(“/users/user[name=$name]/password”);
expr.AddVariable(“name”, typeof(string));
// 検索時に値をセットする（これなら悪意あるコードもただの文字列として処理されます）
var context = new XsltContext();
// …中略… 検索実行
対策②：入力値を厳しくチェックする（サニタイズ）
「名前の欄には半角英数字しか入らないはず」と決まっているなら、それ以外の文字が入ってきた時点で「不審者！」として弾いてしまうのが一番です。
- ホワイトリスト方式： 許可された文字だけを通す。
- 型チェック： 数値なら数値型（Integer）として受け取る。
これだけで、インジェクションの仕掛けを仕込む余地を根本から断てます。
—
4. セキュリティ担当者からのアドバイス
「完璧なコードを書かなきゃ」と気負う必要はありません。まずは以下の3点を心に留めておいてください。
1. 「ユーザーの入力はすべて疑え」
入力フォームは、家の玄関です。誰が何を持ってくるか分からない前提で、必ず中身を検品しましょう。
2. 「複雑なクエリは作らない」
複雑なXPathを組み立てるのではなく、できるだけシンプルなクエリを使い、結果をプログラム側でフィルタリングするのも一つの安全策です。
3. 「フレームワークの力を借りる」
現代の言語やフレームワークは、今回紹介したような脆弱性を防ぐための機能が備わっています。「便利な書き方」ではなく「安全な書き方」を公式ドキュメントで毎回確認する癖をつけましょう。
セキュリティは「一度やって終わり」の作業ではなく、日々の開発の「作法」です。最初は面倒に感じるかもしれませんが、あなたの書いたコードが誰かの大切な情報を守る盾になる。そう考えると、少しワクワクしませんか？
これからも一緒に、安全で頼りになるエンジニアを目指していきましょう！何か分からないことがあれば、いつでも聞いてくださいね。
コメント