令和5年度 秋期 情報処理安全確保支援士試験 午前II 問1
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
Webアプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち，入力した文字列がPHPのexec関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。
解答・解説
正解: イ. OSコマンドインジェクション
PHPの exec 関数などは、外部プログラムやOSのコマンドを呼び出して実行する機能を持っています。この関数に外部から入力された文字列が適切に無害化されずに渡されると、意図しないOSコマンド（シェルスクリプトなど）を実行されてしまう脆弱性があります。これを悪用した攻撃手法を OSコマンドインジェクション と呼びます。したがって、正解は イ です。
各選択肢の解説
- ア HTTPヘッダインジェクション
HTTPレスポンスヘッダを出力する処理に対して改行文字などを注入し、不正なHTTPヘッダや任意のレスポンスボディを追加させる攻撃手法です。 - イ OSコマンドインジェクション
入力データとしてOSコマンドを注入し、Webサーバー上で不正にシェルスクリプトなどを実行させる攻撃手法です。本設問の正解です。 - ウ クロスサイトリクエストフォージェリ
Webアプリケーションにログインしている利用者を罠サイトに誘導し、その利用者の権限で意図しないリクエストを送信させる攻撃手法です。 - エ セッションハイジャック
他人のセッションIDを推測・盗聴などにより取得し、その利用者になりすまして通信を行う攻撃手法です。