OSコマンドインジェクション

入力値に不正なOSコマンドを混ぜ込み、サーバ上で実行させる攻撃。ファイルの奪取や削除など任意の操作をされる恐れがある。シェルを介した実行を避け、入力値を厳密に検査して防ぐ。

Webアプリケーションの入力値がOSのシェルへ渡される箇所に、区切り記号と任意のコマンドを紛れ込ませて実行させる攻撃。サーバの乗っ取りに直結する。シェル経由の外部プログラム呼出しを避け、入力値を検証することで防ぐ。

Webアプリケーションの入力値を通じて、サーバ上でOSのコマンドを不正に実行させる攻撃手法。PHPのexec関数やsystem関数など、外部コマンドを実行する機能への入力値が適切にサニタイズされていない場合に発生する。対策としてコマンド実行関数の使用回避、入力値の厳格な検証がある。

Webアプリケーションが外部プログラムの呼出しなどでOSのコマンドを実行する際、入力値に紛れ込ませた不正なコマンドを実行させる攻撃。サーバ上で任意のコマンドが実行され、情報の窃取や改ざん、マルウェアの設置につながる。シェルを経由する機能を使わないことが根本的な対策である。

パスワードを固定し、利用者IDのほうを次々に変えて試す攻撃。同一IDへの連続失敗を検知するアカウントロックを回避できるため、ログイン試行の総量監視などが必要になる。

ログイン中の利用者に、本人の意図しないリクエストを別サイト経由で送信させ、退会や送金などの操作を実行させる攻撃。処理ごとに秘密のトークンを埋め込んで検証することで防ぐ。

透明化した別ページを重ねて表示し、利用者が見えているボタンとは異なる要素をクリックさせる攻撃。意図しない設定変更や投稿をさせられる。

ファイル名の指定に相対パスを紛れ込ませ、公開範囲外のファイルを不正に読み出す攻撃。パス名の検証や、利用者からのファイル名指定を許さない設計で防ぐ。

利用者のWebブラウザにマルウェアを仕込み、正規サイトへの通信内容を画面表示はそのままに書き換える攻撃。インターネットバンキングの送金先を差し替える不正送金に使われる。

送信元IPアドレスを偽装してパケットを送る攻撃。アクセス制御の回避や攻撃元の隠蔽、反射型DDoS攻撃に用いられる。