OSコマンドインジェクション

ネットワークスペシャリスト平成27年度秋期午前Ⅱ 問20

Webアプリケーションの脆弱性を悪用する攻撃手法のうち，Webページで入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用し，不正にシェルスクリプトや実行形式のファイルを実行させるものは，どれに分類されるか。

ア　HTTPヘッダインジェクション

イ　OSコマンドインジェクション

ウ　クロスサイトリクエストフォージェリ

エ　セッションハイジャック

正解を表示

イ

この問題に出てくる用語

HTTPヘッダインジェクション: 外部入力をHTTPで返すヘッダーへ組み込む処理の不備を突き、改行などを通じて意図しないヘッダーフィールドや本文を出力させる攻撃。入力値が応答の構造として解釈されることが原因となる。
OSコマンドインジェクション: Webアプリケーションが、利用者の入力をそのままOSのコマンドの一部として実行してしまう脆弱性を突き、攻撃者が任意のOSのコマンドをサーバ上で実行させる攻撃。
CSRF: ログイン中の利用者に、攻撃者が用意した罠のページを開かせ、利用者の意図しないリクエストを、利用者の権限で正規のWebサイトに送らせる攻撃。
セッションハイジャック: 利用者とサーバの間の通信（セッション）を識別する情報（セッションIDなど）を盗んだり推測したりして、攻撃者が正規の利用者になりすまし、そのセッションを乗っ取る攻撃。