テクノロジ系 / セキュリティ
OS コマンドインジェクション
OSコマンドインジェクションは、外部入力を悪用してサーバ上で意図しないOSコマンドを実行させる攻撃です。
もう少し詳しく
Webアプリが入力値をそのままシェルコマンドへ連結すると、攻撃者が区切り文字や追加コマンドを混ぜて任意の命令を実行できることがあります。SQLインジェクションがDBへの命令を不正化するのに対し、OSコマンドインジェクションはOSのコマンド実行が問題になります。対策はOSコマンド呼出しを避ける、引数を厳格に検証する、権限を最小化することです。
試験での見方
ファイル名入力欄に「test.txt; cat /etc/passwd」のような文字列を入れ、サーバに余計なコマンドを実行させます。
「サーバ上で任意のコマンドを実行」「; rm」「shell」「system関数」などが出たらOSコマンドインジェクションです。