平成30年度 秋期 午前Ⅱ 問13

✓ これが正解イOS コマンドインジェクション

解説

シェル経由で OS のコマンドを実行させる OS コマンドインジェクションです。

Perl の system 関数や PHP の exec 関数は、プログラムの中からシェルを呼び出して OS のコマンドを実行します。Web ページで入力された文字列を検査せずにこれらの関数へ渡すと、攻撃者は入力の中に区切り文字と別のコマンドを混ぜ込み、サーバ上で任意のコマンドを実行させることができます。これが OS コマンドインジェクションです。ファイルの削除や情報の持ち出しなど、サーバを直接操作される被害につながります。見分ける軸は、入力値がシェルに渡り OS のコマンドとして実行されるかどうかです。

ほかの選択肢はなぜ違うのか

• アHTTP ヘッダインジェクション：HTTP ヘッダインジェクションは、入力値に改行コードを混ぜて、HTTP のレスポンスヘッダを追加したり書き換えたりさせる攻撃です。シェルを呼ぶ関数は関係しません。
• ウクロスサイトリクエストフォージェリ：クロスサイトリクエストフォージェリは、ログイン中の利用者に罠のページを開かせ、正規のサイトへ意図しないリクエストを送らせる攻撃です。サーバ上のプログラムを直接動かすものではありません。
• エセッションハイジャック：セッションハイジャックは、セッション ID を盗んだり推測したりして、他人のログイン状態を乗っ取る攻撃です。入力値をシェルスクリプトとして実行させる手口ではありません。