平成29年度 春期 午前Ⅱ 問12

✓ これが正解イOS コマンドインジェクション

解説

OS のコマンドを呼ぶ関数に入力を渡させる攻撃です。

Perl の system 関数や PHP の exec 関数は、プログラムの中から OS のコマンドを呼び出すための関数です。Web ページで入力された文字列を、確かめないままこれらの関数に渡すと、攻撃者は入力の中にコマンドを紛れ込ませることができます。その結果、サーバ上で不正なシェルスクリプトやコマンドが実行されます。この攻撃は OS コマンドインジェクションに分類されます。インジェクション系の攻撃は、入力がどの部品に渡って解釈されるかで名前が決まると押さえておくと整理しやすくなります。

ほかの選択肢はなぜ違うのか

• アHTTP ヘッダインジェクション：HTTP ヘッダインジェクションは、入力に改行を混ぜ、サーバが返す応答ヘッダに任意のヘッダや本文を差し込む攻撃です。入力が行き着く先は HTTP の応答であり、シェルを動かすものではありません。
• ウクロスサイトリクエストフォージェリ：クロスサイトリクエストフォージェリは、ログイン中の利用者に、本人の意図しないリクエストを送らせる攻撃です。利用者の権限を悪用する手口で、サーバ上でコマンドを動かす仕組みとは異なります。
• エセッションハイジャック：セッションハイジャックは、他人のセッション ID を奪い、その利用者になりすます攻撃です。狙いは通信の乗っ取りで、入力した文字列をサーバの側で実行させる手口ではありません。