情報処理安全確保支援士試験 令和2年度 秋期 午前II 問1

【正解】イ

userパラメタの値には、セミコロンに続いて「cat%20/etc/passwd」が指定されています。「%20」を空白に戻すと「cat /etc/passwd」となります。セミコロンはUnix系OSのシェルでコマンドを区切る記号であり、catはファイルの内容を表示するコマンドです。したがって攻撃者は、CGIプログラムが入力値を適切に検査せずOSのコマンドとして実行することを期待し、パスワード関連情報が格納されたファイルを読み出そうとしています。これはOSコマンドインジェクションです。

アのHTTPヘッダインジェクションは誤りです。これは、改行コードなどを混入させてHTTPレスポンスヘッダを追加又は分割し、不正な応答やキャッシュ汚染などを引き起こす攻撃です。

ウのSQLインジェクションは誤りです。これは、入力値にSQL文の断片を混入させ、データベースを不正に検索、更新又は削除する攻撃です。

エのクロスサイトスクリプティングは誤りです。これは、Webページに不正なスクリプトを混入させ、閲覧者のブラウザ上で実行させる攻撃です。

【ポイント】 OSコマンドインジェクションでは、「;」「|」「&&」などのシェルの制御記号が手掛かりになります。 対策は、外部入力をOSコマンドに渡さない設計を基本とし、やむを得ない場合は許可リストによる検査や安全なAPIを利用します。 URLエンコードされた文字は、復号した後の内容まで確認することが重要です。