令和5年度 秋期 午前Ⅱ 問1

✓ これが正解イOS コマンドインジェクション

解説

シェルを呼ぶ関数に入力が渡る攻撃は OS コマンドインジェクションです。

設問の手掛かりは、入力した文字列が PHP の exec 関数などに渡り、シェルスクリプトが実行されるという点です。exec のような関数は、渡された文字列を OS のコマンドとしてシェルに実行させます。入力の中に区切り記号と別のコマンドを混ぜておくと、開発者が想定していないコマンドまでサーバ上で動いてしまいます。これが OS コマンドインジェクションです。対策としては、シェルを呼ぶ関数をできるだけ使わないこと、使う場合も入力を許可リストで検査することが挙げられます。見分けるときは、攻撃の結果として何が実行されるのかに注目すると迷いません。

ほかの選択肢はなぜ違うのか

• アHTTP ヘッダインジェクション：HTTP ヘッダインジェクションは、改行コードを混ぜた入力で、サーバが返す応答ヘッダに任意のヘッダを差し込む攻撃です。名前は似ていますが、狙われるのはヘッダの中身であり、コマンドが動くわけではありません。
• ウクロスサイトリクエストフォージェリ：クロスサイトリクエストフォージェリは、ログイン中の利用者のブラウザから、本人が意図しない要求を送らせる攻撃です。利用者の権限を悪用するもので、サーバでシェルスクリプトを動かす手口ではありません。
• エセッションハイジャック：セッションハイジャックは、セッション ID を盗んだり推測したりして、正規の利用者になりすます攻撃です。乗っ取るのは利用者のセッションであり、関数への入力からコマンドを実行させる話とは別物です。