Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用し,不正にシェルスクリプトを実行させるものは,どれに分類されるか。

選択肢

• アHTTPヘッダインジェクション
• イOSコマンドインジェクション
• ウクロスサイトリクエストフォージェリ
• エセッションハイジャック

正解と解説

正解：イ OSコマンドインジェクション

受け取った文字列を検証せずにシェル経由でコマンドを実行する関数へ渡すと、区切り文字を混ぜることで任意のコマンドを実行されます。これがOSコマンドインジェクションです。シェルを使う関数を避ける、値を厳密に検証するといった対策が必要です。

選択肢ごとの解説

• ア誤り。応答ヘッダに改行などを注入する攻撃で、コマンド実行とは別。
• イ正しい。入力がシェルに解釈され、任意のコマンドが実行される脆弱性。
• ウ誤り。利用者に意図しない要求を送らせる攻撃であり、性質が異なる。
• エ誤り。セッションIDを奪ってなりすます攻撃。

同じ分野の他の問題

• Webアプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち、入力した文字列がPHPのexec関数などに渡されるこ…2023年度 秋期 午前II 問1
• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2022年度 春期 午前II 問1
• Webサーバのログを分析したところ、Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2020年度 10月試験 午前II 問1
• Webサーバのログを分析したところ,Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTP…2018年度 春期 午前II 問2
• Webアプリケーションの脆弱性を悪用する攻撃手法のうち，Webページ上で入力した文字列がPerlのsystem関数やPH…2017年度 春期 午前II 問12