OSコマンドインジェクションの脆弱性とそれに対する攻撃手法、対策について

<h2>OSコマンドインジェクションの脆弱性</h2>
<p>外部からの攻撃でウェブサーバのOSコマンドを不正に実行されるような脆弱性を「OSコマンドインジェクションの脆弱性」と呼ぶ。</p>
<h2>攻撃の概要</h2>
<ul>
<li>OSコマンドを含む攻撃のためのリクエストをサーバーに送る。</li>
<li>OSコマンドインジェクションの脆弱性があるサーバーはリクエストをOSコマンドとして実行してしまう。</li>
<li>攻撃者はOSコマンドを自由に実行し、不正な操作を行うことができる。</li>
</ul>
<h2>解決方法</h2>
<ul>
<li>シェルを起動できる言語機能の利用を避ける</li>
</ul>
<p>Perlのopen関数は特別な文字列を引数に渡すと、OSコマンドを実行できる。この引数に渡される値がユーザーから受け取る値であり、エスケープしていないならばユーザーは「OSコマンドインジェクションの攻撃」を行うことができる。</p>
<ul>
<li>open関数などの関数をどうしても使いたいときは引数をチェックする。</li>
</ul>
<p>実行を許可する引数の組み合わせをあらかじめ決めておき、その組み合わせ以外の引数では関数が実行されないようにする。（ホワイトリスト方式による実行の許可）</p>
<h2>参考文献</h2>
<p>谷口 隼祐、他．安全なウェブサイトの作り方 ウェブアプリケーションのセキュリティ実装とウェブサイトの安全性向上のための取り組み．改訂第7版．独立行政法人 情報処理推進機．2022．115p</p>
