[非エンジニア向け] OSコマンドインジェクションって何？ 🤔

OSコマンドインジェクションは、サイバー攻撃の一種です。「インジェクション」とは「注入」という意味で、Webサイトの入力フォームなどを通じて、悪意のある「OSコマンド」を注入（送信）し、Webサイトを動かしているコンピュータ（サーバー）に不正な命令を実行させてしまう攻撃のことです。

「OSコマンド」とは、コンピュータの基本的な操作システム（OS、例えばWindowsやmacOS、Linuxなど）を動かすための命令文のことです。ファイルを見たり、作ったり、消したりする命令があります。

通常、Webサイトは訪問者からの入力（例えば、検索キーワードやお問い合わせ内容）を受け取って、処理を行います。しかし、この入力内容のチェックが甘いと、攻撃者はそこにOSコマンドをこっそり混ぜて送ることができます。すると、サーバーはその命令が不正なものだと気づかずに実行してしまい、様々な被害につながるのです。

この攻撃が成功してしまう主な原因は、Webサイトやアプリケーションが、ユーザー（訪問者）からの入力データを十分にチェックせずに、そのままOSへの命令（コマンド）の一部として使ってしまうことです。

例えば、Webサイト上に「調べたいファイル名を入力してください」という機能があったとします。

1. ユーザーはファイル名を入力します（例：「report.txt」）。
2. Webサイトは受け取ったファイル名を元に、「ファイルの内容を表示する」というOSコマンドを組み立てて実行します。
3. ユーザーにはファイルの内容が表示されます。

ここまでは正常な動作です。しかし、悪意のある攻撃者は、ファイル名の代わりに、次のような不正な文字列を入力します。

report.txt ; (悪い命令)

この「;」は、OSに対して「ここまでの命令が終わったら、次の命令を実行してね」という意味を持つ特殊な記号です（OSの種類によって使う記号は異なります）。

もしWebサイトがこの入力値をチェックせずにそのままOSコマンドに使ってしまうと、サーバーは「report.txtの内容を表示する」命令を実行した後、続けて「(悪い命令)」も実行してしまうのです。

このように、入力値にOSコマンドを「注入」することで、本来想定されていない操作をサーバーに強制的に実行させるのが、OSコマンドインジェクション攻撃の手口です。

OSコマンドインジェクション攻撃が成功すると、攻撃者はサーバー上で様々な悪事が働けるようになります。その結果、次のような深刻な被害が発生する可能性があります。

過去には、大手企業のWebサイトがこの攻撃を受け、大量の個人情報が漏洩した事例も報告されています。

2014年に発見された「Shellshock（シェルショック）」と呼ばれる脆弱性は、OSコマンドインジェクションに関連する有名な事例の一つです。

これは、多くのLinuxやmacOSで使われている「Bash」というプログラム（OSに命令を伝える役割を持つ）にあった深刻な欠陥です。特定の条件下で、外部からBashを通じてOSコマンドを簡単に実行できてしまう状態でした。

Webサーバーなど、インターネットに接続された多くのシステムがBashを利用していたため、世界中で非常に広範囲な影響が出ました。この脆弱性を悪用して、サーバーに不正アクセスしたり、情報を盗んだりする攻撃が多数発生しました。

Shellshockは、OSコマンドインジェクションがいかに大きな被害につながる可能性があるかを示す代表的な例と言えます。

私たち一般ユーザーが直接できる対策は限られますが、Webサイトやサービスを提供する開発者側では、次のような対策が重要になります。

• 入力値のチェック（バリデーション）を徹底する: ユーザーからの入力に、OSコマンドとして解釈されうる危険な文字（;, &, | など）が含まれていないか厳しくチェックし、含まれていたら受け付けない、または安全な形に変換（エスケープ処理）する。
• OSコマンド呼び出しを避ける: 可能であれば、Webアプリケーションから直接OSコマンドを呼び出すような実装方法を避ける。他の安全な方法で同じ機能を実現できないか検討する。
• 専用の関数を使う: どうしてもOSコマンドを呼び出す必要がある場合でも、ユーザー入力をそのままコマンド文字列に連結するのではなく、引数を安全に渡せる専用の関数やライブラリを利用する。
• 権限を最小限にする: Webアプリケーションが動作するユーザーの権限を、必要最小限に設定しておく。万が一攻撃されても、被害を最小限に食い止める。
• WAF (Web Application Firewall) を導入する: 不正なリクエストを検知・遮断するセキュリティ対策ツールを導入する。

開発者は、ユーザーからの入力は常に「信用できないもの」として扱い、慎重に取り扱う必要があります。