基本情報技術者 2017年 春期 午前（科目A） 問37

ディレクトリトラバーサル攻撃【午前解説】

正解の理由

解法ステップ

1. 問題文でキーワード「パス名」「ファイル」「不正に閲覧」を探す。
2. 攻撃の定義を思い出し、パスを操作して読み取り範囲外へ行く攻撃＝ディレクトリトラバーサルと対応づける。
3. 他選択肢が説明する攻撃（SQLインジェクション、XSS、セッション乗っ取り）と照合して除外する。

選択肢別の誤答解説

• ア: 攻撃者が入力で意図しないSQL文を実行させるのはSQLインジェクション。データベース命令の改変が目的で、ファイルパス操作とは異なります。
• イ: 正解。パス名を使って不正にファイルを閲覧する攻撃で、相対パスやエンコード技術で本来参照できないファイルに到達します。
• ウ: 利用者のブラウザ上で悪意あるスクリプトを実行させるのはクロスサイトスクリプティング（XSS）。出力時のエスケープ欠如が原因です。
• エ: ログイン利用者のセッションIDを盗んで成りすますのはセッションハイジャック（またはセッション固定化含む）。セッション管理の脆弱性に関する攻撃です。

よくある誤解

• 相対パスの「../」だけが問題と思い込み、URLエンコードやUTF-8混入、Windowsのバックスラッシュ「..\」経由の攻撃を見落とす誤り。
• 「ファイル名を長さチェックすれば安全」と考えるが、正規化（canonicalize）前の検査やパス結合方法次第で回避される場合があること。
• アクセス制御がアプリ層ではなくファイルシステムの権限に依存していると誤解し、アプリ側での入力検証を怠るケース。

補足コラム

• 入力されたパスを受け取る場合は必ず正規化（realpath 等）して、許可されたディレクトリのプレフィックスを持つか確認する。
• ファイル名は許可リスト（ホワイトリスト）で制御し、ブラックリスト（"../" の除去など）のみで済ませない。
• WebサーバやOSの権限設定を厳格にし、アプリがアクセスすべき以外のファイルに読み取り権限を与えない。
• Symlink を介した回避やエンコードによるバイパスにも注意する。

import os

BASE_DIR = "/var/www/files"

def safe_join(base, user_path):
    target = os.path.realpath(os.path.join(base, user_path))
    if os.path.commonpath([base]) == os.path.commonpath([base, target]):
        return target
    raise ValueError("不正なパスです")

# 使い方
try:
    path = safe_join(BASE_DIR, "../etc/passwd")
except ValueError:
    print("アクセス拒否")

FAQ