平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問15

✓ これが正解イOS コマンドインジェクション

解説

system や exec の悪用は OS コマンドインジェクションです。

Perl の system 関数や PHP の exec 関数は、プログラムの中から OS のコマンドや外部プログラムを呼び出すための関数です。利用者の入力をそのまま引数に渡していると、攻撃者は入力にコマンドを紛れ込ませ、サーバ上で任意のシェルスクリプトやプログラムを実行させられます。これが OS コマンドインジェクションです。インジェクションと呼ばれる攻撃は、不正な入力をどこへ注ぎ込むかで名前が決まります。見分ける軸は、攻撃が何を悪用しているかです。

ほかの選択肢はなぜ違うのか

• アHTTP ヘッダインジェクション：HTTP ヘッダインジェクションは、改行コードを混ぜた入力で応答ヘッダに不正な行を加える攻撃です。サーバ上で外部プログラムを呼び出させるものではありません。
• ウクロスサイトリクエストフォージェリ：クロスサイトリクエストフォージェリは、利用者を罠のページに誘い、意図しないリクエストを正規のサイトへ送らせる攻撃です。サーバでコマンドを実行させる手口ではありません。
• エセッションハイジャック：セッションハイジャックは、セッション ID を盗むなどして正規の利用者になりすます攻撃です。外部プログラムを呼び出す関数を悪用してファイルを実行させる手口とは違います。