応用情報技術者試験 令和7年度 春期 午前 問36

【正解】イ

パラメータuserの値に「;cat /etc/passwd」が埋め込まれています。「%20」は空白なので、実際にはセミコロンに続いて「cat /etc/passwd」という文字列になります。セミコロンは、UNIX系OSのシェルで複数のコマンドを区切る記号です。CGIプログラムが受け取った値を適切に検査せず、シェルコマンドの一部として実行すると、本来の処理に続いてcatコマンドが動作し、利用者情報などが格納されたファイルの内容を読み取られるおそれがあります。したがって、悪用しようとしていた脆弱性はOSコマンドインジェクションです。

アのHTTPヘッダーインジェクションは誤りです。これは、改行コードなどを入力させてHTTPレスポンスヘッダーを不正に追加し、応答を分割したりCookieを操作したりする攻撃です。

ウのSQLインジェクションは誤りです。これは、入力値にSQLの構文を混入させ、データベースの検索、更新、削除などを不正に行わせる攻撃です。

エのクロスサイトスクリプティングは誤りです。これは、Webページに悪意のあるスクリプトを混入させ、そのページを閲覧した利用者のブラウザ上で実行させる攻撃です。

【ポイント】 OSコマンドインジェクションでは、「;」「|」「&」などのシェルの制御記号が手掛かりになります。 対策では、外部入力をシェルへ渡さず、安全なAPIを使用することが基本です。やむを得ず渡す場合は、許可リストによる入力検証を徹底します。