OSコマンドインジェクション
応用情報技術者 用語
OSコマンドインジェクションは、Webアプリケーションへの入力にOSのコマンドを紛れ込ませ、シェル経由でサーバ上の任意のコマンドを実行させる攻撃です。根本的な対策は、シェルを起動できる言語機能を使わない実装にすることです。
取り違えやすい用語
- OSコマンドインジェクションとSQLインジェクション（シェルでOSコマンドを実行させるか、データベースへのSQL文を改ざんするか。プレースホルダはSQLインジェクションの対策）
- OSコマンドインジェクション対策とディレクトリトラバーサル対策（シェルを起動する機能を避けるか、入力したファイル名にディレクトリが含まれていないかを検査するか）
- OSコマンドインジェクションとバッファオーバーフロー（直接メモリにアクセスする言語機能を避けるのはバッファオーバーフローの対策）
試験での出方
- HTTPリクエストに含まれる文字列から、悪用されようとした脆弱性を選ぶ（令和7年度 春期 問36）
- OSコマンドインジェクションへの開発時の対策を選ぶ（令和7年度 春期 問42）
出題された回
全年度から出題。10問で実力を判定します。登録不要。
解説と用語ページは生成 AI が書き、別の生成 AI が確かめています。作り方