情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度春期 午前Ⅱ 問1: Webサーバのログを分析したところ，Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる，攻撃者が

問題本文

Webサーバのログを分析したところ，Webサーバへの攻撃と思われるHTTPリクエストヘッダが記録されていた。次のHTTPリクエストヘッダから推測できる，攻撃者が悪用しようとしていた可能性が高い脆弱性はどれか。ここで，HTTPリクエストヘッダ中の“%20”は空白を意味する。 〔HTTPリクエストヘッダの一部〕 GET /cgi-bin/submit.cgi?user=;cat%20/etc/passwd HTTP/1.1 Accept: / Accept-Language: ja UA-CPU: x86 Accept-Encoding: gzip, deflate User-Agent: （省略） Host: test.example.com Connection: Keep-Alive

選択肢

• ア.HTTPヘッダインジェクション（HTTP Response Splitting）
• イ.OSコマンドインジェクション
• ウ.SQLインジェクション
• エ.クロスサイトスクリプティング

正解

イ. OSコマンドインジェクション

解説

リクエスト中の「user=;cat%20/etc/passwd」に注目する。CGIが受け取った値をシェルに渡して実行する作りだと、「;」で区切った後続のcatコマンドが実行され、/etc/passwdの中身が盗まれる。これはOSコマンドインジェクションの典型で、イが正解。実務ではシェルを介した外部コマンド呼び出しを避け、入力をエスケープ・許可リストで検証し、Webサーバ権限を最小化する。

選択肢ごとの解説

• ア.HTTPヘッダインジェクションは改行を注入して応答ヘッダを偽造する攻撃で、OSコマンド実行を狙う本ログとは異なり誤り。
• イ.「;cat /etc/passwd」とOSコマンドを連結して実行させる典型的なOSコマンドインジェクションで、これが正解。
• ウ.SQLインジェクションはSQL文を狙う攻撃で、SELECTやUNION等のSQL構文がなく、catはOSコマンドのため誤り。
• エ.XSSはscriptタグ等を仕込み閲覧者のブラウザで実行させる攻撃で、サーバ上のファイル参照を狙う本ログとは無関係で誤り。