情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和2年度 午前Ⅱ 問1: Web サーバのログを分析したところ，Web サーバへの攻撃と思われる HTTP リクエストヘッダが記録されていた。次の HTTP リクエストヘッダから推測でき

正解

イ. OS コマンドインジェクション

正答率 100.0%（1人中 1人が正解）

問題の解説

リクエスト中の user=;cat%20/etc/passwd は、CGIに渡す値にセミコロンとUNIXコマンドを混入させ、サーバ側でシェルに解釈させてpasswdを読み出そうとする典型例。シェルのメタ文字を悪用してOSコマンドを実行させるOSコマンドインジェクションに該当する。実務ではシェル呼び出しを避け、入力をエスケープ・許可リスト化して防ぐ。

選択肢ごとの解説

• ア改行コードを注入してHTTP応答を分割する攻撃。本例はリクエストURLへのコマンド混入であり該当しない。
• イセミコロンに続けてcatコマンドを注入しシェルで実行させようとする点がOSコマンドインジェクションそのもので正しい。
• ウSQL文の断片を注入しDBを不正操作する攻撃で、本例にSQLの構文はなくOSコマンド注入なので誤り。
• エスクリプトを注入し閲覧者のブラウザで実行させる攻撃。サーバ側のコマンド実行を狙う本例とは異なる。