基本情報技術者 2012年 春期 午前（科目A） 問45

ディレクトリトラバーサル攻撃【午前解説】

正解の理由

解法ステップ

1. 問題文で「パス」「サーバ内のファイル」「閲覧」「意図していない」といったキーワードを探す。
2. それらがファイルパスの不正操作を示すなら「ディレクトリトラバーサル（パストラバーサル）」を想起する。
3. 他の選択肢（SQL文実行、スクリプト実行、セッションID盗用）と照らして用途・影響を比較する。
4. ファイル参照を直接述べるものを正解にする。

選択肢別の誤答解説

• ア: Webアプリの入力で想定外のSQL文を実行させる記述は「SQLインジェクション」です。ファイルパス操作とは異なります。
• イ: 利用者のブラウザで悪意のあるスクリプトを実行させるのは「クロスサイトスクリプティング（XSS）」で、クライアント側のスクリプト実行が目的です。
• ウ: ウ が正解です。サーバ内のファイルに対するパス操作で不正に閲覧する攻撃はディレクトリトラバーサルを指します。
• エ: セッションIDを盗用してなりすます攻撃は「セッションハイジャック」「セッション固定攻撃」などで、ファイル参照ではありません。

よくある誤解

• ディレクトリトラバーサルを「SQL注入」や「XSS」と混同すること。攻撃対象や侵害手法が異なります。
• 認証があるサイトだから安全、と思い込むこと。認証後の機能に脆弱性があれば内部ファイルも取得され得ます。
• 単純な文字列置換で防げると考える誤り。エンコードや二重エンコード、シンボリックリンクなどで回避されることがあります。

補足コラム

• 入力はホワイトリストで許可する（許可されたファイル名やIDのみ受け付ける）。
• パスを結合・正規化（canonicalize）して、想定したベースディレクトリ外に出ないか確認する。
• ファイルを直接パスで渡さず、IDとマッピングする（DBやマッピングテーブルで管理）。
• ファイル公開は最小権限で行う。ディレクトリの列挙を無効化する。
• ログ監視で "../" や "%2e%2e" を検出する。

import os
from urllib.parse import unquote

def is_safe_path(base_path, user_path):
    user_path = unquote(user_path)  # URLデコード
    full_path = os.path.normpath(os.path.join(base_path, user_path))
    # realpath を使ってシンボリックリンクにも対応する場合は realpath を検討
    return os.path.commonpath([base_path, full_path]) == base_path

FAQ