[非エンジニア向け] XPathインジェクションって何？ Webサイトの隠れた危険

Webサイトの中には、情報を整理するために「XML（エックスエムエル）」という形式のデータを使っているものがあります。例えるなら、XMLは情報をタグ付けして整理する特別なメモ帳のようなものです 。

そして、「XPath」というのは、そのXMLメモ帳の中から特定の情報を探し出すための「検索コマンド」のようなものです。例えば、「顧客リストの中から、”山田太郎”さんの情報だけを探して！」といった指示を出すときに使われます。

「XPathインジェクション」とは、このXPathの検索コマンドを、悪意のある人が不正に書き換えてしまう攻撃のことです。「インジェクション」は「注入」という意味で、検索コマンドに悪意のある指示を注入するイメージです。

これは、Webサイトがユーザー（あなた）からの入力情報（例えば、検索キーワードやログインID・パスワードなど）をきちんとチェックせずに、そのままXPathの検索コマンドの一部として使ってしまう場合に起こりえます。

想像してみてください。あなたが図書館の検索システムで「”吾輩は猫である”という本を探して」と入力したとします。システムは正直にその本を探してくれます。

しかし、もし検索システムにXPathインジェクションの弱点があったらどうでしょう？ 悪意のある人が、検索窓に「’ OR ‘1’=’1」のような、ちょっと変わった呪文を入力したとします。（これは「または『1は1である』」という意味で、常に正しい条件になります）

もしシステムがこの呪文をそのまま検索コマンドの一部として使ってしまうと、「（入力された何か）または（常に正しい条件）」を探すことになります。その結果、システムは「条件は常に正しい！」と勘違いしてしまい、本来探していたものだけでなく、図書館にある全ての本のリスト（あるいは、もっと重要な内部情報）を表示してしまうかもしれません。

ログイン画面でも同じようなことが起こりえます。ユーザー名やパスワードの入力欄に特殊な文字列を入れることで、正しいパスワードを知らなくてもログインできてしまう可能性があります（認証回避）。

XPathインジェクション攻撃が成功すると、様々な被害が発生する可能性があります。

実際に、過去にWebサイトがXPathインジェクションの脆弱性を突かれて情報漏洩などの被害に遭った事例も報告されています（具体的な事例や時期の特定は難しい場合が多いですが、SQLインジェクションと同様に注意が必要な脆弱性です）。

Webサイトを作る開発者の人たちは、このような攻撃を防ぐためにいくつかの対策を講じる必要があります。非エンジニアの方も、どのような対策があるのかを知っておくと、Webサイトの安全性を少しイメージしやすくなるかもしれません。

• 入力値のチェック（サニタイズ）: ユーザーが入力した文字の中に、XPathの検索コマンドとして特別な意味を持つ文字（例: ', ", <, >, / など）が含まれていないか厳しくチェックし、もし含まれていたら無害な文字に置き換える（エスケープ処理）か、入力を拒否します。これが最も基本的な対策です。
• プレースホルダ（パラメータ化クエリ）の利用: ユーザーからの入力値を、検索コマンドの「部品」として直接はめ込むのではなく、「ここは後でユーザーの入力値が入る場所ですよ」という目印（プレースホルダ）だけをコマンドに入れておき、実際の値は安全な方法で後から渡すようにします。これにより、入力値がコマンドの一部として解釈されるのを防ぎます。

  # これは良くない例（文字列を直接結合している）
  # username = get_user_input()
  # query = "/users/user[name='" + username + "']"
  # これは良い例（プレースホルダを使っているイメージ）
  # username = get_user_input()
  # query = "/users/user[name=$user_placeholder]"
  # execute_query(query, {"user_placeholder": username}) # 値は安全な方法で渡す

  Copy
• 権限の最小化: WebアプリケーションがXMLデータにアクセスする際に、必要最小限の権限しか持たないように設定します。万が一攻撃されても、被害を最小限に抑えることができます。
• エラーメッセージの管理: エラーが発生した際に、攻撃者にヒントを与えるような詳細な情報を表示しないようにします。
• セキュリティツールの利用: WAF（Web Application Firewall）のようなセキュリティ対策ツールを導入し、不正な通信を検知・ブロックすることも有効です。

XPathインジェクションは、Webサイトの裏側で使われているXMLデータに対する検索機能を悪用する攻撃です。ユーザーからの入力をしっかりチェックしないと、情報漏洩や不正ログインなどの深刻な被害につながる可能性があります。

私たちが普段使うWebサイトが安全であるためには、開発者による適切な対策が不可欠です。少しでもセキュリティに関心を持つことで、より安全なインターネット利用につながるかもしれませんね 。