平成27年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問20
テクノロジ／セキュリティWeb アプリケーションの脆弱性を悪用する攻撃手法のうち，Web ページ上で入力した文字列が Perl の system 関数や PHP の exec 関数などに渡されることを利用し，不正にシェルスクリプトや実行形式のファイルを実行させるものは，どれに分類されるか。
出典：平成27年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問20
- アHTTP ヘッダインジェクション
- イOS コマンドインジェクション
- ウクロスサイトリクエストフォージェリ
- エセッションハイジャック
正解：イ
解説
OS コマンドインジェクションは，Web アプリケーションが利用者からの入力をそのまま Perl の system 関数や PHP の exec 関数など OS コマンド実行系の関数に渡してしまう脆弱性を悪用し，攻撃者が任意のシェルスクリプトや実行形式のファイルを実行させる攻撃です。
選択肢ごとの解説
- ア誤り。HTTP ヘッダインジェクションは，レスポンスヘッダに不正な文字列を注入する攻撃で，OS コマンドの実行とは異なります。
- イ正しい。system 関数や exec 関数への入力を悪用してコマンドを実行させる攻撃は OS コマンドインジェクションに分類されます。
- ウ誤り。クロスサイトリクエストフォージェリは，利用者に意図しないリクエストを送信させる攻撃で，コマンド実行とは異なります。
- エ誤り。セッションハイジャックは，他人のセッション ID を奪取してなりすます攻撃です。