平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13
テクノロジ／セキュリティWeb アプリケーションの脆弱性を悪用する攻撃手法のうち，Web ページ上で入力した文字列が Perl の system 関数や PHP の exec 関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13
- アHTTP ヘッダインジェクション
- イOS コマンドインジェクション
- ウクロスサイトリクエストフォージェリ
- エセッションハイジャック
正解：イ
解説
OS コマンドインジェクションは，Web アプリケーションが外部からの入力値をチェックせずに，Perl の system 関数や PHP の exec 関数などシェルを起動して OS コマンドを実行する関数に渡してしまうことで，攻撃者が意図しない OS コマンド（シェルスクリプト）を実行させる攻撃です。
選択肢ごとの解説
- ア誤り。HTTP ヘッダインジェクションは，HTTP レスポンスヘッダに任意の内容を挿入する攻撃であり，OS コマンドの実行とは異なります。
- イ正しい。入力文字列が system 関数や exec 関数などに渡されることを利用して不正にシェルスクリプトを実行させる攻撃は，OS コマンドインジェクションに分類されます。
- ウ誤り。クロスサイトリクエストフォージェリは，利用者に意図しないリクエストを送信させる攻撃であり，OS コマンドの実行とは異なります。
- エ誤り。セッションハイジャックは，他人のセッション ID を奪取してなりすます攻撃であり，OS コマンドの実行とは異なります。