令和3年度春期 ネットワークスペシャリスト 午前Ⅱ 問21

攻撃の作用点を手掛かりに区別する

Webアプリケーションを狙う攻撃手法を区別するときは、名称の印象に頼らず、攻撃者が送り込んだ入力がどの構成要素に届き、どこで意図しない形で扱われるのかという一つの観点に絞って、問題の記述と照らし合わせて整理することが有効です。

この問題で問われていること

この問題で問われているのは、攻撃手法の名前を覚えているかどうかよりも、示された状況で攻撃の影響が最終的に誰や何に及んでいるのかを読み取り、その作用点と手法の区別を結び付けて考えられるかどうかだと捉えてください。

視点

Webアプリケーションは、利用者の端末、通信経路、サーバ側の処理、その背後の資源など、複数の要素が連携して動いています。攻撃手法の多くは、どこかの要素が外部からの入力を想定外の意味で受け取ってしまう点を突くものです。そのため、手法を区別するときは、入力の出発点から影響が現れる地点までを一本の流れとしてたどり、どの要素で想定外の扱いが起きているかを見極めることが整理の軸になります。名称の響きや、個々の用語が似ているかどうかだけで判断すると取り違えやすいため、作用点という一つの観点で状況を読み解く練習をしておくと役立ちます。

確認ポイント

• 問題に示された状況で、攻撃者の入力がどこから入り、どの要素まで届いているかを自分の言葉で説明できるか
• 想定外の扱いが起きている場所が、利用者側・サーバ側・その背後のどこにあたるかを区別して捉えているか
• 名称の印象ではなく、影響が及ぶ対象と作用点に基づいて判断しているかを見直したか

正解

イ

解説

入力した文字列がPerlのsystem関数やPHPのexec関数に渡され、不正にシェルスクリプトを実行させる攻撃は、OSコマンドインジェクションに分類される。

理由

system関数やexec関数は、与えられた文字列をOS上のコマンド実行に利用する機能です。そこへ攻撃者が細工した入力を渡し、意図しないシェルスクリプトを実行させるため、OSコマンドインジェクションに該当する。

比較

HTTPヘッダインジェクションはHTTP応答ヘッダへの不正な文字列混入、クロスサイトリクエストフォージェリは利用者の権限を悪用した意図しないリクエスト送信、セッションハイジャックはセッション情報の不正利用であり、設問のようなOS上の命令実行とは異なる。

選択肢ア

これは不正解だよ。HTTPヘッダインジェクションは、入力値によってHTTP応答のヘッダに不正な内容を混入させる攻撃である。Perlのsystem関数やPHPのexec関数を介して、OS上でシェルスクリプトを実行させる設問の内容とは攻撃対象が異なる。

選択肢イ（正解）

これは正解だよ。Perlのsystem関数やPHPのexec関数などに攻撃者の入力文字列が渡されると、入力がOSのコマンドとして解釈される場合がある。その結果、不正にシェルスクリプトを実行させる攻撃なので、OSコマンドインジェクションに分類される。

選択肢ウ

これは不正解だよ。クロスサイトリクエストフォージェリは、利用者がログイン中であることなどを利用し、本人の意図しないリクエストを送信させる攻撃である。入力文字列をsystem関数やexec関数へ渡して命令を実行させる攻撃とは異なる。

選択肢エ

これは不正解だよ。セッションハイジャックは、セッションIDなどを不正に取得・利用して、別の利用者になりすます攻撃である。設問ではセッション情報の奪取ではなく、入力文字列を利用したシェルスクリプトの実行が問題となっている。

学習のポイント

各攻撃手法が介入する対象と、発生させる不正な動作の違いを整理する。