平成26年度春期 情報処理安全確保支援士 午前Ⅱ 問15

午前II 問15：OSコマンドインジェクションを見抜こう

system や exec みたいにOSコマンドを実行する関数へ、攻撃者が細工した入力を渡して、本来動かすはずのないコマンドまで実行させる攻撃だよ。たとえるなら、受付で「荷物をA室に運んで」と頼む紙に、こっそり「ついでに金庫も開けて」と書き足すようなものだね。

この問題で問われていること

この問題では、OSコマンドインジェクションと、HTTPヘッダインジェクションやCSRFとの違いを整理できるかがポイントだよ。『OSのコマンドを不正に実行させる話か？』『HTTPヘッダを書き換える話か？』『利用者に意図しない操作をさせる話か？』を切り分けて考えよう。

OS Command Injection

OS command injection abuses functions such as system or exec to run shell commands through crafted input

abuse system or exec\nrun shell command\nvia crafted input

確認ポイント

• 外部コマンド実行関数に注目する。
• OS コマンドが動くのが本質。
• CSRF ではありません。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

HTTPヘッダインジェクションは不正解だよ。これは、Webサーバからブラウザへ返す“封筒の宛名欄”みたいなHTTPヘッダに、改行などを混ぜて偽の指示を書き足す攻撃なんだ。今回のポイントは、ヘッダを書き換える話ではなく、system関数やexec関数などを通じてサーバにOSコマンドを実行させる話だよ。

選択肢イ（正解）

OSコマンドインジェクションが正解だよ。たとえば受付の申請用紙に「荷物を運んで」と書く欄があるのに、泥棒が「ついでに金庫も開けて」と命令を書き足すようなものだよ。Webアプリが入力値をそのままsystem関数やexec関数に渡すと、攻撃者の命令がOSコマンドとして実行されてしまうんだ。

選択肢ウ

クロスサイトリクエストフォージェリは不正解だよ。これは、ログイン中の利用者をだまして、本人のブラウザから勝手に申請書を出させるような攻撃だよ。今回の問題は、利用者に操作をさせる話ではなく、攻撃者の入力をきっかけにサーバ側でOSコマンドを動かす話だから、OSコマンドインジェクションと見分けよう。

選択肢エ

セッションハイジャックを指しているなら不正解だよ。これは、利用者のログイン状態を示す“入館証”のようなセッションIDを盗んで、本人になりすます攻撃なんだ。今回の問題は、ログインの合鍵を盗む話ではなく、サーバにOSの命令を実行させる話なので違うよ。