ホーム / セキュアコーディング /

ディレクトリトラバーサルを防ぐ！セキュアコーディングの基本と実践テクニック

2025年4月29日火曜日

セキュアコーディング

ディレクトリトラバーサルって言葉、聞いたことありますか？

なんだか難しそう…と感じるかもしれませんが、実はWebサイトやアプリを作る上で避けて通れないセキュリティの基本なんです。

もし対策を怠ると、サーバーの中身が丸見えになっちゃうかも！？想像するだけで、ちょっと冷や汗が出ますよね。

この記事では、そんなディレクトリトラバーサルの仕組みから、どうして危険なのか、そしてどうやって防げばいいのか、セキュアコーディングの観点から初心者の方にも分かりやすく解説していきます！

この記事で学べること

  • ディレクトリトラバーサルがどんな攻撃か理解できる。
  • どうして自分のコードに脆弱性が生まれるのか原因がわかる。
  • 明日から使える具体的な対策方法をコード付きで学べる。

ディレクトリトラバーサルとは何か？その危険性を知る

ディレクトリトラバーサルとは、Webサーバー上のファイルやディレクトリ（フォルダのことですね）に、本来アクセスが許可されていないはずの場所から不正にアクセスしようとする攻撃手法を指します。

まるで、家の裏口からこっそり忍び込む泥棒みたいなイメージでしょうか。

この攻撃が成功してしまうと、本当にまずい事態を引き起こしかねません。例えば、以下のような危険が考えられます。

  • 設定ファイル（パスワード情報などが書かれていることも！）の盗み見。
  • 顧客の個人情報など、機密データの漏洩。
  • ソースコードが流出して、他の脆弱性を見つけるヒントを与えてしまう。
  • サーバーの設定を変更されたり、最悪の場合、乗っ取られたりする可能性も。

セキュアコーディングを行う上で、ディレクトリトラバーサルへの対策は基本中の基本。しっかり理解して、安全なプログラム作りを目指しましょう。

ディレクトリトラバーサルの攻撃はどのように行われるのか？仕組みを理解する

では、攻撃者はどうやってディレクトリトラバーサル攻撃を仕掛けてくるのでしょうか。多くのケースでは、Webアプリケーションがユーザーからの入力を受け付ける箇所が悪用されます。

例えば、URLのパラメータ（`?file=profile.jpg`のような部分）や、検索窓、お問い合わせフォームの入力欄などです。攻撃者は、ファイル名やパスを指定する箇所に、特殊な文字列を紛れ込ませるのです。

攻撃の流れを簡単に見てみましょう。

1. 入力箇所の特定
攻撃者はまず、ファイル名を指定できそうなURLパラメータやフォームを探します。

2. 特殊文字の入力
見つけた入力箇所に、「../」のような、上の階層のディレクトリを示す文字列や、OSの特別なファイルパスなどを入力します。

3. 意図しないファイルへのアクセス
もしアプリケーション側で入力値のチェックが甘いと、サーバーは攻撃者の入力したパスをそのまま解釈してしまい、公開を意図していないファイルへのアクセスを許可してしまう場合があります。

下の図は、攻撃者がどのように上の階層へ移動していくかのイメージです。

 attackers_input: ../../etc/passwd

 /var/www/html/ (Web公開ディレクトリ)
   |
   +-- user_contents/
   |     |
   |     +-- view.php (攻撃対象のスクリプト)
   |
   (../../ で2階層上がる)
   |
 /var/www/
   |
 /var/
   |
 /etc/ (設定ファイルがあるディレクトリ)
   |
   +-- passwd (攻撃者が狙うファイル)

こんな風にして、本来見せるつもりのなかったファイルにたどり着かれてしまうわけです。

よくある攻撃パターン "../" を使ったファイルアクセス

ディレクトリトラバーサル攻撃で最も古典的かつ有名なのが、「../」（ドットドットスラッシュ）を使った手法です。これは、多くのOSで「一つ上の階層のディレクトリ」を示す特別な意味を持っています。

例えば、`https://example.com/show_image?file=user_icon.png` というURLで画像を表示する仕組みがあったとします。ここで攻撃者は、`file`パラメータに細工をするのです。

https://example.com/show_image?file=../../../../etc/passwd

もし、`show_image` のプログラムが `file` パラメータの値をそのまま信用してファイルパスを組み立ててしまうと、Webサーバーの公開ディレクトリ（例 `/var/www/html/images/`）からどんどん上の階層に移動し、最終的にシステムの重要ファイルである `/etc/passwd` にアクセスしようと試みます。

これが成功すると、ユーザーアカウント情報などが漏洩する可能性があります。

URLエンコーディングを利用した巧妙な攻撃

単純な「../」は、セキュリティ対策ソフト（WAFなど）で検出されやすい場合があります。そこで攻撃者は、もっと巧妙な手口を使います。それがURLエンコーディングです。

URLでは、特定の文字（例えば `/` や `.` など）は特別な意味を持つため、そのまま使えない場合があります。そこで、「%」に続けて16進数のコードを付与する形式（パーセントエンコーディングとも呼ばれます）に変換して扱います。

例えば、

  • `.` (ドット) は `%2e`
  • `/` (スラッシュ) は `%2f`
  • `\` (バックスラッシュ) は `%5c`

のように変換されます。攻撃者はこれを利用して、「../」を `%2e%2e%2f` や、さらに巧妙に `%2e%2e%5c` のようにエンコードして、検知システムをすり抜けようと試みるのです。サーバー側でデコードされた時に「../」と同じ意味になることを狙っています。

Windows環境特有の攻撃パターン

ディレクトリトラバーサルはLinuxサーバーだけの問題ではありません。Windowsサーバーにも特有の攻撃パターンが存在します。

Linux系のOSではディレクトリの区切り文字は `/` (スラッシュ) ですが、Windowsでは `\` (バックスラッシュ、円マーク) も使えます。そのため、攻撃者は「../」の代わりに「..\」を使うことがあります。

https://example.com/get_log?file=..\..\..\boot.ini

また、Windowsでは `C:` のようにドライブ名を指定できます。これも悪用される可能性があります。さらに、ファイル名の最後にドットを付けると無視される性質などを利用した攻撃もあります。OS環境によるパスの扱いの違いを理解しておくことも、対策を考える上で必要になります。

なぜディレクトリトラバーサル脆弱性が生まれるのか？原因を探る

ディレクトリトラバーサル脆弱性が生まれてしまう最大の原因は、多くの場合、プログラムの作り方にあります。

特に、外部から受け取った入力値を、安全かどうか十分に確認しないまま、ファイルやディレクトリを操作するための情報（ファイルパス）として使ってしまうことが問題を引き起こします。

考えてみてください。ユーザーが入力する値は、必ずしも開発者が想定した通りのものとは限りません。悪意のあるユーザーは、わざと「../」のような特殊な文字列を入力してくる可能性があるのです。

セキュアコーディングの基本原則は、「外部からの入力は信用しない」ことです。この原則を忘れてしまうと、ディレクトリトラバーサルのような脆弱性が簡単に生まれてしまいます。

入力値の検証不足が引き起こす問題

ユーザーからの入力をそのままファイルパスの一部として使うコードを見てみましょう。これはPHPの簡単な例です。

<?php
// ユーザーが指定したファイル名を取得 (例: $_GET['filename'] = "../../secret.txt")
$fileName = $_GET['filename'];

// ファイルを読み込むパスを組み立て
// ここで入力値 $fileName を検証していない！
$filePath = '/var/www/user_files/' . $fileName;

// ファイルの内容を表示 (脆弱なコード)
if (file_exists($filePath)) {
    readfile($filePath);
} else {
    echo "ファイルが見つかりません。";
}
?>

このコードでは、`$_GET['filename']` で受け取った値を全くチェックしていません。

もし攻撃者が `filename=../../secret.txt` のように入力すると、`$filePath` は `/var/www/user_files/../../secret.txt` となり、意図しない `/var/www/secret.txt` が読み込まれてしまうかもしれません。入力値を検証せずに使うことが、いかに危険か分かりますね。

ファイルパスの不適切な結合

ファイルパスを組み立てる際の、文字列の結合方法にも注意が必要です。たとえベースとなるディレクトリパス（例 `/var/www/user_files/`）が安全だとしても、ユーザー入力と単純に連結するだけでは不十分な場合があります。

例えば、ユーザー入力が `../malicious_file` だった場合、単純結合すると `/var/www/user_files/../malicious_file` となり、結果的に `/var/www/malicious_file` にアクセスできてしまう可能性があります。

パスを結合する際は、最終的に出来上がるパスが意図したディレクトリの範囲内に収まっているかを確認する処理が必要になります。

言語やフレームワークによっては、安全にパスを結合・正規化する機能が用意されていることもあります。

ディレクトリトラバーサルを防ぐためのセキュアコーディング実践

さて、ここからが本番です！ディレクトリトラバーサル脆弱性を防ぐための、具体的なセキュアコーディングのテクニックを見ていきましょう。

いくつかの方法がありますが、組み合わせて使うことで、より堅牢な対策になります。

主な対策方針は以下の通りです。

  • 入力値を無害化する（危ない文字を取り除く）。
  • 安全なAPIや関数を利用する。
  • アクセスして良いファイルやパスを限定する（許可リスト）。

これらの考え方をコードに落とし込んでいきましょう。セキュアコーディングは、ちょっとした心がけで実践できるものも多いですよ。

対策の基本！入力値を無害化する

最も基本的な対策は、ユーザーからの入力に含まれる可能性のある危険な文字列を無害化（サニタイズ）することです。「../」や「/」、「\」などを検出したり、取り除いたりします。

PHPの場合、`basename()` 関数を使うのが簡単で効果的な方法の一つです。この関数は、与えられたパス文字列からファイル名の部分だけを取り出してくれます。ディレクトリ情報はすべて除去されるため、ディレクトリトラバーサルを防ぐのに役立ちます。

<?php
// ユーザーが指定したファイル名を取得 (例: $_GET['filename'] = "../../secret.txt")
$userInput = $_GET['filename'];

// basename() でファイル名部分のみを抽出！
$fileName = basename($userInput);

// これで $fileName は "secret.txt" になり、ディレクトリ情報は除去される

// 安全なベースディレクトリと結合
$baseDir = '/var/www/user_files/';
$filePath = $baseDir . $fileName;

// ファイルの内容を表示 (安全性が向上したコード)
// さらに file_exists の前に $filePath が $baseDir で始まっているか等のチェックを追加するとより堅牢
if (strpos(realpath($filePath), realpath($baseDir)) === 0 && file_exists($filePath)) {
    readfile($filePath);
} else {
    echo "ファイルが見つからないか、アクセスが許可されていません。";
}
?>

`basename()` を使うことで、予期せぬディレクトリへのアクセスを簡単に防ぐことができます。 ただし、ファイル名自体に悪意のあるコードが含まれる可能性なども考慮し、他の対策と組み合わせることが理想的です。

安全なファイルアクセスAPIや関数を利用する

自分で一から対策ロジックを組むのも勉強になりますが、利用しているプログラミング言語やフレームワークに、セキュリティ対策が考慮されたファイルアクセス用の機能（APIや関数）が用意されているなら、積極的に活用しましょう。

これらの機能は、多くの場合、パスの正規化（例 `/../` を解決するなど）や、意図しないディレクトリへのアクセスを防ぐ仕組みを内部に持っています。

例えば、Javaでは `java.nio.file.Path` や `Paths` クラスを使うことで、より安全にファイルパスを扱うことができます。フレームワークのドキュメントなどを確認し、推奨される安全なファイル操作方法がないか調べてみるのがおすすめです。

許可リスト（ホワイトリスト）でアクセス可能なファイルを限定する

より厳格な対策として、「許可リスト」（ホワイトリスト）方式があります。これは、危険な入力をブロックする（ブラックリスト）のではなく、「アクセスしても良いファイル名やパターン」をあらかじめ決めておき、それ以外からのリクエストはすべて拒否するという考え方です。

例えば、ユーザーに `image1.jpg`, `image2.png`, `document.pdf` の3つのファイルへのアクセスのみを許可したい場合、プログラム側で以下のようにチェックします。

<?php
// アクセスを許可するファイルのリスト
$allowedFiles = [
    'image1.jpg',
    'image2.png',
    'document.pdf'
];

// ユーザーからの入力
$userInput = $_GET['file'];

// 許可リストに含まれているかチェック
if (in_array($userInput, $allowedFiles, true)) {
    // 含まれていれば安全なパスを組み立ててアクセス
    $baseDir = '/var/www/safe_files/';
    $filePath = $baseDir . $userInput; // basename() も併用するとより安全

    if (file_exists($filePath)) {
        readfile($filePath);
    } else {
        echo "ファイル処理エラー。"; // エラーメッセージは具体的にしすぎない
    }
} else {
    // 許可リストになければアクセス拒否
    echo "アクセスが許可されていません。";
}
?>

許可リスト方式は、想定外の入力パターンによる攻撃を防ぎやすく、非常に効果的な対策です。アクセス対象のファイルがある程度限定できる場合に特に有効です。

ディレクトリトラバーサル対策でよくある間違いと注意点

よし、これで対策はバッチリ！…と思っても、油断は禁物です。ディレクトリトラバーサル対策で見落としがちな点や、よくある間違いについて触れておきましょう。

完璧な対策を目指すなら、これらのポイントも頭に入れておく必要があります。せっかくの対策も、穴があっては意味がありませんからね。

ブラックリスト方式の限界を知る

「../」や「..\」などの危険な文字列をリストアップして、それらが入力されたら拒否する方式を「ブラックリスト」方式と呼びます。一見、簡単で良さそうに思えるかもしれません。

しかし、攻撃者は常に新しい手口を考えています。例えば、エンコーディングを使ったり、OSによっては特殊な文字列表現を使ったりして、用意したブラックリストをすり抜けてくる可能性があります。すべての危険なパターンを網羅したブラックリストを作るのは非常に困難であり、メンテナンスも大変です。そのため、前述した「許可リスト」方式の方が、一般的にはより安全とされています。

エラー処理に潜む情報漏洩リスク

ファイルアクセス処理でエラーが発生した場合、ユーザーに親切にエラー内容を伝えようとするあまり、内部の情報を漏洩させてしまうことがあります。

例えば、「ファイルが見つかりません: /var/www/html/../../etc/passwd」のような詳細なエラーメッセージを表示してしまうと、攻撃者にサーバーのディレクトリ構造や、試みた攻撃がどこまで到達したかのヒントを与えてしまいます。

エラーメッセージは、「ファイルが見つかりません」や「処理中にエラーが発生しました」のように、必要最小限の汎用的な内容に留めるべきです。

詳細なエラー情報は、開発者向けのログファイルに記録するようにしましょう。

【まとめ】ディレクトリトラバーサルからシステムを守るために

今回は、ディレクトリトラバーサルの仕組みと、セキュアコーディングによる対策方法について解説しました。最後に、今回のポイントをまとめておきましょう。

  • ディレクトリトラバーサルは、不正にファイルへアクセスされる危険な攻撃。
  • 主な原因は、ユーザー入力の検証不足。
  • 対策の基本は、入力値の無害化、安全なAPI利用、許可リストの活用。
  • ブラックリスト方式には限界があり、エラー処理での情報漏洩にも注意が必要。

ディレクトリトラバーサルは、Webアプリケーションの脆弱性の中でも基本的ですが、対策を怠ると深刻な被害につながる可能性があります。今回学んだセキュアコーディングの知識を、ぜひあなたのプログラムに取り入れてみてください。

まずは自分の書いたコードを見直して、ファイルアクセスを行っている箇所がないか、入力値のチェックは十分かを確認してみることから始めましょう！安全なシステム作りは、日々の小さな積み重ねが大切です。

このブログを検索
  • ()

自己紹介

自分の写真
リモートワークでエンジニア兼Webディレクターとして活動しています。プログラミングやAIなど、日々の業務や学びの中で得た知識や気づきをわかりやすく発信し、これからITスキルを身につけたい人にも役立つ情報をお届けします。 note → https://note.com/yurufuri X → https://x.com/mnao111

QooQ