令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21
テクノロジ／セキュリティWeb アプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち，入力した文字列が Perl の system 関数，PHP の exec 関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。
出典：令和3年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問21
- アHTTP ヘッダインジェクション
- イOS コマンドインジェクション
- ウクロスサイトリクエストフォージェリ
- エセッションハイジャック
正解：イ
解説
OS コマンドインジェクションは，Web アプリケーションが入力値を Perl の system 関数や PHP の exec 関数などに渡して OS のシェルコマンドを実行する処理を行っている場合に，入力値に不正なシェルコマンドを混入させることで，意図しないコマンドを実行させる攻撃です。
選択肢ごとの解説
- ア誤り。HTTP ヘッダインジェクションは，入力値を利用して HTTP レスポンスヘッダに不正な内容を挿入する攻撃です。
- イ正しい。入力文字列が system 関数や exec 関数などに渡されることを利用してシェルスクリプトを実行させるのは OS コマンドインジェクションです。
- ウ誤り。クロスサイトリクエストフォージェリは，利用者が意図しないリクエストを別のサイト経由で強制的に送信させる攻撃です。
- エ誤り。セッションハイジャックは，セッション ID を盗用・推測して他人になりすます攻撃です。