Webアプリの盲点：コマンドインジェクションとは？
セキュリティを高めたい
「コマンドインジェクション」って、何ですか？難しそうな言葉でよく分かりません。
情報セキュリティ専門家
「コマンドインジェクション」は、悪意のある人が、コンピュータに勝手に命令を実行させる攻撃のことだよ。
セキュリティを高めたい
勝手に命令を実行させる？具体的にどういうことですか？
情報セキュリティ専門家
例えば、ウェブサイトで名前を入力する欄があったとする。普通は名前を入力するよね？でも、悪意のある人は、そこにプログラムの命令文をこっそり入力するんだ。もし、そのウェブサイトがセキュリティの対策をしっかりしていなかったら、入力された命令文が実行されてしまうんだ。そうすると、ウェブサイトの情報が盗まれたり、システムが乗っ取られたりする可能性があるんだよ。
コマンドインジェクションとは。
「命令埋め込み」と呼ばれる情報セキュリティの専門用語について説明します。これは、悪意のある人がコンピュータシステムに不正に侵入する方法である「埋め込み攻撃」の一つです。
攻撃者は、アプリケーションの弱点をつき、不正なデータを入力してコンピュータの基本的な動作を管理するシステムに送り込みます。これにより、システムを乗っ取ったり、悪意のあるコードを実行したりすることができます。
通常、アプリケーションに入力されたデータに対して、適切なチェックや安全対策、無害化処理などが行われていない場合、このような攻撃の被害に遭いやすくなります。
命令埋め込みの特徴は、ウェブアプリケーションへの不正な入力を通じて、コンピュータの基本操作を指示するコマンド（シェルコマンド）を操作することにあります。
ウェブアプリケーションのセキュリティに関する国際的な非営利団体であるOWASPの定義によると、攻撃の影響範囲がそのアプリケーションのみに留まる場合は、「コード埋め込み」に分類されます。
コマンドインジェクションとは
– コマンドインジェクションとはコマンドインジェクションとは、インターネット上で情報交換などを行う際に利用されるWebアプリケーションの、セキュリティ上の弱点をついた攻撃手法の一つです。Webアプリケーションは、ユーザーからの入力を受け取り、それを元に処理を実行します。例えば、オンラインストアで商品を検索する場合、ユーザーが入力した検索キーワードを元に、データベースから該当する商品を探し出して表示します。コマンドインジェクション攻撃では、悪意のある攻撃者が、この入力フォームなどに、本来アプリケーションが想定していない不正なコマンドを埋め込みます。そして、アプリケーションがその入力を正しいものと判断して処理を実行してしまうと、攻撃者が埋め込んだ不正なコマンドがサーバー上で実行されてしまいます。これにより、攻撃者は機密情報（パスワードや個人情報など）を盗み出したり、システムの設定を改ざんしたり、サーバーに保存されているファイルを削除したりすることが可能になります。コマンドインジェクションの脅威からシステムを守るためには、ユーザーからの入力内容を適切にチェックし、不正なコマンドが含まれていないかを検証することが重要です。 また、アプリケーションのセキュリティ対策を最新の状態に保ち、脆弱性を解消しておくことも重要です。
| 脅威 | 対策 |
|---|---|
| 機密情報（パスワードや個人情報など）を盗み出される | ユーザーからの入力内容を適切にチェックし、不正なコマンドが含まれていないかを検証する |
| システムの設定を改ざんされる | アプリケーションのセキュリティ対策を最新の状態に保ち、脆弱性を解消する |
| サーバーに保存されているファイルを削除される |
攻撃の手口
インターネット上のサービスの中には、利用者の入力した情報をもとに、様々な処理を行うものがあります。例えば、利用者が検索窓に入力した言葉で、目的の情報をデータベースから探し出すサービスなどが、その一例です。
こうしたサービスの一部では、入力された情報を処理する際、セキュリティ対策が十分でない場合があります。悪意のある攻撃者が、利用者が入力する情報に紛れ込ませて、特別な命令文を送り込む攻撃手法を、「コマンドインジェクション攻撃」と呼びます。
もし、サービスを提供する側のシステムが、入力内容を適切に確認せずに、そのまま受け入れてしまうと、攻撃者が送り込んだ命令文が実行されてしまいます。
その結果、攻撃者は、本来アクセスできないはずの情報を読み取ったり、システムを不正に操作したりすることが可能になる危険性があります。重要な情報が漏洩したり、サービスが停止に追い込まれたりするなど、大きな被害につながる可能性もあるため、コマンドインジェクション攻撃への対策は非常に重要です。
| 脅威 | 概要 | 影響 |
|---|---|---|
| コマンドインジェクション攻撃 | サービス利用者の入力値検証が不十分な場合に、悪意のある攻撃者が特別な命令文を送り込み、システムを不正に操作する攻撃手法。 |
|
具体的な攻撃の例
例えば、インターネット上で会員登録などを行う場面を考えてみましょう。利用者が氏名や住所などと共に、ログインに使うための利用者名を入力する欄があったとします。攻撃者は、この利用者名の入力欄に、本来入力すべきでない特別な記号「;」（セミコロン）と、コンピュータへの指示である不正な命令文を組み合わせて入力します。もし、そのウェブサイトのシステムが、入力されたデータの内容を十分に確認せずに処理を進めてしまうような作りになっていた場合、この「;」によって本来実行されるべき処理が途中で中断されてしまいます。そして、その後ろに隠れていた不正な命令文が、あたかも正規の利用者が入力した命令のように実行されてしまう危険性があります。
これは、家の扉に鍵をかけているにも関わらず、窓の鍵をかけ忘れて侵入を許してしまうようなものです。攻撃者は、この隙をついて、本来アクセスできないはずの重要なファイルを読み出したり、個人情報が保管されているデータベースを操作したりできてしまう可能性があります。ウェブサイトやシステムの開発者は、このような攻撃を防ぐため、入力されたデータが本当に正しい内容なのかどうかを厳密にチェックする仕組みを導入することが重要です。
| 攻撃手法 | 概要 | 対策 |
|---|---|---|
| SQLインジェクションなど | Webフォームの入力欄などに、特別な記号（例：;）と不正な命令文を注入し、システムのセキュリティを突破する攻撃手法。 | 入力値のチェックを厳密化し、不正な文字や命令文を無効化する仕組みを導入する。 |
コマンドインジェクションの危険性
– コマンドインジェクションの危険性コマンドインジェクションは、Webアプリケーションなどにおいて、外部からの入力値を適切に処理せずにシステムコマンドに渡してしまうことで発生する脆弱性です。攻撃者はこの脆弱性を悪用し、悪意のあるコマンドを注入することで、本来許可されていない操作を実行する可能性があります。コマンドインジェクション攻撃が成功すると、攻撃者は機密情報を含むデータベースへのアクセスや、システムファイルの閲覧・改竄が可能になるなど、甚大な被害をもたらす可能性があります。例えば、ECサイトにおいて、攻撃者がコマンドインジェクションを悪用し、顧客のクレジットカード情報や個人情報が格納されたデータベースにアクセスするといった事態が考えられます。また、Webサイトのコンテンツを改竄し、閲覧者に偽の情報を見せることで、企業の信用を著しく毀損する可能性もあります。最悪の場合、サーバーを完全に制御下に置かれ、他のシステムへの攻撃の足がかりにされてしまうこともあります。このように、コマンドインジェクションは企業にとって大きな脅威となり得るため、その危険性に対する理解を深め、適切な対策を講じることが重要です。
| 脅威 | 影響 |
|---|---|
| コマンドインジェクション | Webアプリケーション等において、適切に処理されない外部入力値を悪用し、悪意のあるコマンドを注入される脆弱性。 |
| 機密情報漏洩 | データベースへの不正アクセスにより、顧客情報やクレジットカード情報などの機密情報が窃取される。 |
| システム改竄 | Webサイトコンテンツの改竄や、偽情報の掲載による企業の信用毀損。 |
| サーバーの乗っ取り | サーバーが完全に制御され、他のシステムへの攻撃の足がかりとなる。 |
対策方法
– 対策方法
悪意のある命令実行を防ぐために、開発する側で適切な対策を組み込むことが重要です。
具体的には、利用者が入力した内容をそのまま命令として受け取らないように、特別な意味を持つ記号などを無効化する対策が有効です。
例えば、ウェブページの入力フォームに利用者が「;」や「&」といった記号を入力した場合、システム側でこれらの記号を特別な意味を持たない文字列に変換するのです。
また、常に最新のシステムに更新することや、セキュリティ対策の機能をもつソフトウェアを導入するなど、システム全体で多層的に対策を行うことが重要です。
| 対策 | 詳細 |
|---|---|
| 入力値の無効化 | 利用者が入力した「;」や「&」などの特別な意味を持つ記号を、システム側で無効化する。 |
| システムの更新 | 常に最新のシステムに更新する。 |
| セキュリティソフトウェアの導入 | セキュリティ対策の機能をもつソフトウェアを導入する。 |