実際の大規模侵害の報告書を読むと、ほとんどが「単一の致命的な穴」ではなく「複数の中程度の弱点の連鎖」で構成されています。攻撃者にとって重要なのは、個々の脆弱性の派手さではなく、それらが繋がって最終目標（機密データ、管理者権限、ドメイン全体の掌握など）に届くかどうかです。だからこそ防御側も、脆弱性を単体の重大度だけで評価するのではなく、「これが他のどの弱点と繋がりうるか」という連鎖の視点で見る必要があります。

本話の舞台は、これまでの回に登場した架空のアプリ「ToDoループ」と認可基盤「Aurora ID」です。3つの脆弱性が同じシステムの中に同居しているとき、攻撃者がどう連鎖させるのかを体験します。

今回の侵入は、次の3ステップで進みます。重要なのは、各ステップの「出力」が、次のステップの「入口」になっている点です。1つ目で手に入れた情報がなければ2つ目は始められず、2つ目で得た権限がなければ3つ目には届きません。これが攻撃チェーンの基本構造です。

SSRF単体の影響は、しばしば「内部の情報がいくらか見える」程度に評価されます。しかし、その「いくらか見える情報」の中に、OAuthクライアントの設定（client_idや、検証が緩い登録redirect_uri）が含まれていたらどうでしょうか。SSRFの出力は、そのままOAuth攻撃の入力になります。同様に、OAuth攻撃で得た管理者トークンは、本来は管理者しか触れないXMLインポート機能への入場券になります。こうして各脆弱性の「出口」と「入口」が噛み合うと、全体として1つの大きな攻撃が成立します。

次の実践チャレンジでは、3つのステージを順に攻略します。ステージ1の出力（盗んだクライアント情報）がステージ2の入力になり、ステージ2の出力（管理者トークン）がステージ3への入場券になります。前の話を思い出しながら、1本の侵入経路を組み立ててください。なお、すべてのステップは架空のシステムを安全に再現したもので、実際のネットワーク通信やファイルアクセスは一切発生しません。

架空のサービス「ToDoループ」には、第2話で学んだSSRF、第7話のOAuth検証不備、第8話のXXEが、同じシステムの中に同居しています。3つのステージを順に攻略し、最終的に最高機密ファイルのフラグに到達してください。各ステージをクリアすると、次のステージが解放されます。

攻撃チェーンの怖さは「3つ繋がると最大の被害になる」ことですが、防御側にとっての希望もそこにあります。チェーンは、構成する輪のどれか1つでも断ち切れれば成立しません。3つすべてを完璧に塞げなくても、最も直しやすい1箇所を確実に塞ぐだけで、その経路は崩れます。今回のチェーンなら、次のどれか1つでも実施されていれば最高機密への到達は防げました。

• ①の輪を断つ（SSRF対策）：URL取得機能で内部アドレスへのアクセスを宛先IPの正規化後に判定して拒否する。文字列ブロックリストではなく、解決後のIPで判断する
• ②の輪を断つ（OAuth対策）：redirect_uriを前方一致ではなく完全一致で検証する。これだけで盗んだクライアント情報があっても認可コードは横取りできない
• ③の輪を断つ（XXE対策）：XMLパーサーで外部エンティティとDTDを無効化する。管理者権限を奪われても、機密ファイルの読み出しは成立しない
• 多層防御の発想：1つの対策に頼らず、複数の層で備える。どこか1層が破られても、次の層でチェーンが止まる
• 連鎖の視点で診断する：個々の脆弱性の重大度だけでなく、「これは他のどの弱点の入口・出口になりうるか」を評価し、チェーンの起点になりやすい箇所を優先的に塞ぐ

単体では中程度に見える脆弱性も、繋がれば最大の結果を生む——そして、その鎖はどこか1箇所で断てる。これが複合チャレンジから持ち帰ってほしい、攻守両面の最も重要な視点です。次のセクションでまとめます。

第9話では、SSRF・OAuth・XXEという3つの脆弱性を1本の侵入経路に繋ぐ複合チャレンジを体験しました。各ステップの出力が次の入口になる連鎖の構造と、その鎖がどこか1箇所で断てることを、攻守両面から確認しました。