情報セキュリティマネジメント 2017年 春期 午前（科目A） 問23

ディレクトリトラバーサル【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で「ファイル」「パス名」「不正に閲覧」などの語があるか探す。これらはディレクトリ／パスに関する攻撃を示すキーワードです。
2. 各選択肢の行為を代表的な脆弱性と結びつける：
   • データベース命令の挿入 → SQLインジェクション
   • HTML出力の不備でブラウザ上でスクリプト実行 → XSS（クロスサイトスクリプティング）
   • セッションIDを奪う → セッションハイジャック
   • パス名で意図しないファイルを指定 → ディレクトリトラバーサル（本問題の正解）
3. 最も該当する脆弱性名を選ぶ。

選択肢別の誤答解説

• ア: これはSQLインジェクションです。データベース（情報を格納・検索する仕組み）への命令文を入力で改変し、意図しないSQLを実行させる攻撃で、ファイルパスの操作とは別種です。
• イ: ファイルのパス（pathname）を操作して本来アクセスできないファイルを取得する攻撃で、ディレクトリトラバーサルに該当します。
• ウ: これはXSS（クロスサイトスクリプティング）です。Webページに悪意あるスクリプトを埋め込み、訪問者のブラウザ上で実行させる攻撃です。ファイルシステムのパス操作とは異なります。
• エ: セッションIDを不正入手して利用者になりすます行為はセッションハイジャック（乗っ取り）です。セッション管理の問題で、ディレクトリ構造の直接アクセスとは無関係です。

よくある誤解

1. 「ディレクトリトラバーサルはサーバ内のファイル改ざんをする攻撃だ」
   • 実際は主にファイルの閲覧・取得が目的です（ただし閲覧した情報で更なる侵害に繋がることはあります）。
2. 「URLに../が使われなければ大丈夫」
   • 実際には %2e%2e（URLエンコード）やUTF-8のエンコード、シンボリックリンクを経由する等、さまざまな手法があるため単純な文字列チェックだけでは不十分です。

補足コラム

• 入力の正規化（normalization）とホワイトリスト（許可するパスのみ受付）。
• パスを組み立てるときは安全なAPIを使う（例：ベースディレクトリからの相対結合と正規化、os.path.commonpathでベースを越えていないか確認する）。
• Webアプリとファイルのアクセス権を最小権限にする。重要ファイルはWebサーバが直接読めない場所に置く。
• ファイル名に人が予測しにくいトークンを付ける（直接パスを渡させない設計）。
• ログと監査：アクセス試行を検知してブロック・通知する。

import os

BASE = '/var/www/files'  # 許可する基点ディレクトリ

def safe_open(user_input):
    # ユーザ入力をパス結合・正規化
    requested = os.path.normpath(os.path.join(BASE, user_input))
    # ベースディレクトリに収まっているか確認
    if os.path.commonpath([BASE, requested]) != BASE:
        raise ValueError("不正なパス指定です")
    return open(requested, 'rb')

FAQ