令和7年度 春期 午前 問36

✓ これが正解イOS コマンドインジェクション

解説

区切り記号で命令を継ぎ足し、ファイルを読ませる狙いです。

記録されたリクエストで目を引くのは、問合せ文字列に渡された値の先頭にセミコロンが置かれ、その後ろにファイルの内容を表示する命令と、利用者情報を保持するファイルのパスが続いている点です。セミコロンは多くのシェルで命令の区切りとして働きます。そのため、受け取った値をそのままシェルに渡して外部の命令を呼び出す作りになっていると、区切りより後ろが別の命令として実行されてしまいます。攻撃者はこの性質を利用して、本来の処理に自分の命令を継ぎ足そうとしています。狙われているのは、利用者から受け取った文字列を検査しないまま命令の一部として組み立てている箇所です。どの脆弱性かを見分けるときは、埋め込まれた文字列がどの層の文法として意味を持つのかを確かめるのが近道になります。

ほかの選択肢はなぜ違うのか

• アHTTP ヘッダーインジェクション（HT…：応答のヘッダーに改行を紛れ込ませ、ヘッダーや本文を勝手に付け足す攻撃です。今回の記録に改行を表す文字は含まれておらず、狙いも応答を組み立て直すことではないので、当てはまりません。
• ウSQL インジェクション：データベースへの問合せ文を書き換えるために、引用符や条件式を紛れ込ませる攻撃です。今回埋め込まれているのはファイルの内容を表示する命令とそのパスであり、問合せ文の文法として意味をもつ材料ではありません。
• エクロスサイトスクリプティング：利用者のブラウザで動く記述を送り込み、閲覧した人の画面で実行させる攻撃です。狙う先は閲覧者の側になりますが、今回の記述はサーバの上でファイルを読み出そうとするもので、実行される場所が違います。