応用情報技術者試験 応用情報技術者試験 令和7年度春期 午前 問42: Web アプリケーションソフトウェアの開発における OS コマンドインジェクション対策はどれか。

正解

イ. シェルを起動できる言語機能を利用した実装を避ける。

正答率 49.0%（808人中 396人が正解）

問題の解説

OS コマンドインジェクションは、外部から入力された文字列がシェルを通じて OS のコマンドとして解釈・実行されてしまう脆弱性である。対策は、シェルを呼び出す機能（system や exec など）の利用を避け、必要な処理は言語の標準機能やライブラリで行うことである。

選択肢ごとの解説

• アSQL 文の組立てにプレースホルダを使うのは、SQL インジェクションの対策である。
• イ正しい。シェルを起動する機能を使わなければ、入力文字列がコマンドとして解釈される余地がなくなり、OS コマンドインジェクションを防げる。
• ウメモリに直接アクセスできる機能の利用を避けるのは、バッファオーバーフローなどのメモリ破壊に対する対策である。
• エファイル名にディレクトリが含まれていないかを調べるのは、ディレクトリトラバーサルの対策である。