応用情報技術者試験 応用情報技術者試験 令和7年度春期 午前 問36: Web サーバのログを分析したところ，Web サーバへの攻撃と思われる HTTP リクエストヘッダーが記録されていた。次の HTTP リクエストヘッダーから推測

正解

イ. OS コマンドインジェクション

正答率 81.7%（246人中 201人が正解）

問題の解説

リクエストの URL に「user=;cat /etc/passwd」とあり、パラメータの値にセミコロンに続けて OS のコマンド（cat）とファイル名を埋め込んでいる。CGI がパラメータをシェルに渡して実行すると、セミコロンで区切られた後ろのコマンドが実行され、パスワードファイルが読み出される。これは OS コマンドインジェクションの典型的な攻撃である。

選択肢ごとの解説

• アHTTP ヘッダーインジェクションは、パラメータに改行コード（%0d%0a など）を混ぜて、応答ヘッダーを不正に追加する攻撃である。このリクエストには改行が含まれていない。
• イ正しい。セミコロンはシェルでコマンドを区切る記号で、その後ろの cat /etc/passwd を実行させようとしており、OS コマンドインジェクションを狙っている。
• ウSQL インジェクションは、パラメータに SQL 文の断片（' OR 1=1 -- など）を混ぜて、データベースへの問合せを改変する攻撃である。リクエストに SQL の構文は見当たらない。
• エクロスサイトスクリプティングは、script タグなどのスクリプトを Web ページに埋め込み、利用者のブラウザで実行させる攻撃である。リクエストにスクリプトはない。