インジェクション攻撃（SQL・OS コマンド）

SQL インジェクション

たとえば，入力された利用者 ID を文字列としてつなげて SQL 文を作るアプリケーションに， ID として「' OR '1'='1」のような文字列を入れると，条件が常に成り立つ SQL 文ができあがり，ほかの人のデータまで読み出されてしまいます。

OS コマンドインジェクションとディレクトリトラバーサル

• OS コマンドインジェクション：入力した文字列が，Perl の system 関数や PHP の exec 関数のような外部のプログラムを呼び出す関数に渡されることを利用して， サーバ上で任意の OS コマンドを実行させる。根本的な対策はシェルを起動できる言語機能を使わないこと
• ディレクトリトラバーサル：ファイル名を入力させるアプリケーションに「../」のような上位のディレクトリを示す文字列を入れ， 本来見せないはずのファイルを読み出させる

いずれも，入力を「データ」としてだけ扱い，「命令」や「パス」の一部として解釈させないことが対策の軸です。 XSS（スクリプトの埋込み）も同じ考え方で，出力するときのエスケープが対策になります。

試験での問われ方

当サイトが収録している午前の問題のうち，SQL インジェクション・OS コマンドインジェクション・ディレクトリトラバーサルなどの語が出てくるのは37問です。 6割あまりが情報処理安全確保支援士の午前Ⅱです。型ごとに数えると次のとおりです。

• SQL インジェクションの対策（11問）。実装での対策と実装以外の対策の組（8問）では， 「実装における対策：プレースホルダを利用する。実装以外の対策：Web アプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする」 のような組が正解です（古い問題ではプレースホルダが「バインド機構」）。
• OS コマンドインジェクション（8問）。PHP の exec 関数などに渡されることを利用する攻撃の名前（7問）と， 対策（「シェルを起動できる言語機能を利用した実装を避ける」）です。
• 攻撃と対策の組合せ（6問）。「攻撃：SQL インジェクション，対策：SQL 文の組立てに静的プレースホルダを使用する」などです。
• そのほかの攻撃（5問）。Web サーバのログに残った HTTP リクエストから攻撃を推測する問題（3問）と，ディレクトリトラバーサルの説明（2問）です。
• このほか，DNS のカミンスキー攻撃の対策（3問）などの選択肢に出てきます。

出題された過去問（37問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

XSS・CSRF・クリックジャッキング　WAF・IDS・IPS