[C言語] system関数を使用してシェルコマンドを実行する

system()関数を使用するには、まずstdlib.hヘッダファイルをインクルードする必要があります。

#include <stdlib.h>

関数のプロトタイプ（シグネチャ）は以下の通りです。

int system(const char *command);

引数commandには、実行したいシェルコマンドを文字列として渡します。この文字列は、OSのコマンドプロセッサ（Windowsのcmd.exeやLinux/macOSの/bin/shなど）に渡され、解釈・実行されます。

system()関数は、コマンドの実行が完了するまで呼び出し元のプログラムの実行を待機します。

簡単な使用例

以下は、LinuxやmacOS環境でls -lコマンド（ファイルの詳細リスト表示）を実行する簡単な例です。

#include <stdio.h>
#include <stdlib.h>

int main(void) {
    printf("--- ls -l コマンドを実行します ---\n");
    int return_code = system("ls -l");

    if (return_code == -1) {
        perror("system関数の実行に失敗しました");
    } else {
        printf("--- コマンド実行完了 (終了ステータス: %d) ---\n", return_code);
        // POSIX環境ではWEXITSTATUS等で詳細な終了ステータスを取得可能
        // if (WIFEXITED(return_code)) {
        //     printf("--- コマンド正常終了 (終了コード: %d) ---\n", WEXITSTATUS(return_code));
        // } else {
        //     printf("--- コマンド異常終了 ---\n");
        // }
    }

    return 0;
}

Windows環境で同様にファイルリストを表示したい場合は、command引数を"dir"に変更します。

// Windowsの場合
int return_code = system("dir");

このように、実行するコマンドはOSに依存するため、移植性を考慮する場合は注意が必要です。

引数にNULLを渡した場合

command引数にNULLポインタを渡すと、system()関数はコマンドプロセッサが利用可能かどうかを確認します。利用可能であれば0以外の値（真）、利用不可であれば0（偽）を返します。

#include <stdio.h>
#include <stdlib.h>

int main(void) {
    if (system(NULL) != 0) {
        printf("コマンドプロセッサは利用可能です。\n");
    } else {
        printf("コマンドプロセッサは利用できません。\n");
    }
    return 0;
}

プログラムの実行環境でシェルコマンドが実行できるかを事前に確認したい場合に利用できます。

system()関数の戻り値は、その実行結果を示す重要な情報です。しかし、その解釈はプラットフォームによって異なる場合があり、注意が必要です。

• NULL引数の場合: 前述の通り、コマンドプロセッサが利用可能なら非ゼロ、利用不可ならゼロを返します。
• コマンド実行時のエラー:
  • 子プロセスの生成（例: fork()）に失敗した場合や、子プロセスの終了ステータスを取得（例: waitpid()）できなかった場合、一般的に-1を返します。この場合、エラーの詳細はグローバル変数errnoに設定されることがあります。
  • シェル自体の起動に失敗した場合（例: /bin/shが見つからない）、シェルがステータスコード127で終了したかのような戻り値を返すことがあります（POSIX準拠システムの場合）。
• コマンド実行成功時:
  • コマンドが正常に実行された場合、そのコマンドの終了ステータスを含む値が返されます。POSIX準拠システム（Linux, macOSなど）では、この値はwaitpid()が返すステータス値と同じ形式です。
  • Windowsなど、他のシステムでは異なる規約の場合があります。例えば、コマンドプロセッサ自体の戻り値を返すことがあります（成功時に0を返すなど）。
  • IBM i (OS/400) のようなシステムでは、成功時に0、コマンド失敗時に1を返す場合もあります。

POSIX環境での戻り値の解釈

LinuxやmacOSなどのPOSIX準拠システムでは、system()の戻り値はwaitpid()と同様のステータス情報を含みます。これを解釈するために、<sys/wait.h>で定義されているマクロを使用するのが一般的です。

• WIFEXITED(status): 子プロセスが正常に終了した場合に真を返します。
• WEXITSTATUS(status): WIFEXITEDが真の場合、子プロセス（シェル）の終了コード（通常、実行されたコマンドの終了コード）を返します。慣例的に、成功時は0、エラー時は非ゼロです。
• WIFSIGNALED(status): 子プロセスがシグナルによって終了させられた場合に真を返します。
• WTERMSIG(status): WIFSIGNALEDが真の場合、子プロセスを終了させたシグナル番号を返します。

以下は、POSIX環境で戻り値をより詳細にチェックする例です。

#include <stdio.h>
#include <stdlib.h>
#include <sys/wait.h> // WIFEXITED, WEXITSTATUS などを使うために必要
#include <errno.h>   // errno を使うために必要

int main(void) {
    // 存在しないコマンドを実行させてみる
    int status = system("non_existent_command_xyz");

    if (status == -1) {
        // system() 自体のエラー (fork失敗など)
        perror("system call failed");
    } else {
        if (WIFEXITED(status)) {
            int exit_code = WEXITSTATUS(status);
            printf("コマンドは終了しました。終了コード: %d\n", exit_code);
            if (exit_code == 0) {
                printf("コマンドは成功しました。\n");
            } else if (exit_code == 127) {
                printf("シェルの起動に失敗したか、コマンドが見つかりませんでした。\n");
            } else {
                printf("コマンドはエラーで終了しました。\n");
            }
        } else if (WIFSIGNALED(status)) {
            int signal_num = WTERMSIG(status);
            printf("コマンドはシグナル %d によって終了させられました。\n", signal_num);
        } else {
            printf("コマンドは予期せぬ状態で終了しました (status: %d)\n", status);
        }
    }

    return 0;
}

⚠️ 重要: system()関数の戻り値の正確な意味は処理系（OSやコンパイラ）に依存します。移植性を重視する場合、各環境のドキュメントを確認するか、より低レベルなプロセス制御関数（fork/execファミリーなど）の使用を検討する必要があります。単純に0かどうかだけで成功/失敗を判断するのは、必ずしも安全ではありません。

system()関数に渡すコマンド文字列は固定である必要はありません。プログラム実行時に動的に生成することも可能です。例えば、ユーザーからの入力をコマンドの一部として利用するケースが考えられます。

文字列を動的に組み立てる一般的な方法として、sprintf()や、より安全なsnprintf()があります。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

#define BUFFER_SIZE 256

int main(void) {
    char filename[128];
    char command[BUFFER_SIZE];

    printf("内容を表示したいファイル名を入力してください: ");
    // 注意：fgetsは改行文字も読み込む可能性がある
    if (fgets(filename, sizeof(filename), stdin) == NULL) {
        fprintf(stderr, "ファイル名の読み取りに失敗しました。\n");
        return 1;
    }
    // fgetsで読み込んだ末尾の改行文字を削除
    filename[strcspn(filename, "\n")] = 0;

    // コマンド文字列を組み立てる (snprintfでバッファオーバーフローを防ぐ)
    // Linux/macOSの場合
    int len_needed = snprintf(command, sizeof(command), "cat '%s'", filename);
    // Windowsの場合
    // int len_needed = snprintf(command, sizeof(command), "type \"%s\"", filename);

    if (len_needed >= sizeof(command)) {
        fprintf(stderr, "エラー: コマンド文字列が長すぎます。\n");
        return 1;
    } else if (len_needed < 0) {
        fprintf(stderr, "エラー: コマンド文字列の生成に失敗しました。\n");
        return 1;
    }

    printf("実行するコマンド: %s\n", command);
    int status = system(command);

    // ... (戻り値のチェック処理) ...

    return 0;
}

上記の例では、ユーザーが入力したファイル名をcat（またはtype）コマンドの引数としています。snprintfを使用することで、commandバッファのサイズを超える書き込み（バッファオーバーフロー）を防いでいます。また、ファイル名にスペースが含まれる可能性を考慮し、シングルクォート（'）またはダブルクォート（"）で囲んでいます。

コマンドインジェクション脆弱性

この脆弱性は、system()関数が内部でシェル（コマンドインタープリタ）を呼び出し、渡された文字列をシェルが解釈することに起因します。シェルは;, |, &, `, $()などのメタ文字を特別な意味を持つものとして解釈するため、これらを適切に処理（エスケープまたは無害化）しない限り、コマンドインジェクションのリスクが常に伴います。

原則として、信頼できない外部からの入力（ユーザー入力、ファイルの内容、ネットワーク経由のデータなど）を検証・無害化せずにsystem()関数に渡すべきではありません。

system()関数を使用する際には、コマンドインジェクション以外にもいくつかのセキュリティ上の点を考慮する必要があります。

1. コマンドインジェクション対策の徹底

前述の通り、これが最大のリスクです。対策としては以下の方法が考えられますが、完全な対策は非常に困難です。

• 入力値の検証 (Validation): 最も安全なのは、許可する文字種や形式を厳密に制限する「許可リスト（Allowlisting）」方式です。例えば、ファイル名として英数字とアンダースコア、ピリオドのみを許可するなどです。禁止文字を指定する「拒否リスト（Denylisting）」方式は、想定外の抜け漏れが発生しやすく、推奨されません。
• シェルメタ文字のエスケープ (Escaping/Sanitization): 入力値に含まれる可能性のあるシェルの特殊文字（;, |, &, `, $, (, ), {, }, ', ", \, 改行など多数）の前にエスケープ文字（通常は\）を挿入したり、文字列全体をシングルクォートで囲むなどの処理を行います。しかし、シェルやOSによって挙動が異なる場合があり、完全なエスケープ処理を自前で実装するのは非常に複雑で間違いやすいです。
• 根本的な対策: 可能であれば、system()関数自体を使用せず、後述する代替手段（exec系関数など）を用いるのが最も安全です。

2. PATH環境変数の問題

system()関数でコマンド名をフルパス（例: /bin/ls）で指定しない場合、シェルはPATH環境変数に設定されたディレクトリを順番に探し、最初に見つかった同名の実行ファイルを実行します。攻撃者がPATH環境変数を操作できる状況（例えば、プログラムがsetuidなどで特権昇格している場合）では、意図しない、あるいは悪意のあるプログラムを実行させられる可能性があります。

対策としては、

• 実行するコマンドは常にフルパスで指定する。
• プログラムの実行前に、信頼できるPATH環境変数を設定し直す（例: putenv("PATH=/bin:/usr/bin")）。
• exec系関数（特にexecleやexecve）を使用し、子プロセスに渡す環境変数を明示的に制御する。

3. その他の環境変数

PATH以外にも、LD_PRELOAD, IFSなど、シェルの挙動や外部コマンドの動作に影響を与える環境変数が存在します。これらが悪用される可能性も考慮し、外部プログラムを呼び出す前には環境をクリーンアップ（無害化）することが推奨されます。標準Cライブラリには直接的な機能はありませんが、POSIX環境ではclearenv()（非標準の場合あり）や、個別にunsetenv()で不要な変数を削除し、putenv()やsetenv()で必要な変数を安全な値に設定し直すといった方法があります。

4. 最小権限の原則

system()関数を呼び出すプログラムは、必要最小限の権限で実行されるべきです。もしプログラムがroot権限などで動作している場合、コマンドインジェクションなどの脆弱性が悪用された際の被害が甚大になります。

5. エラー処理の重要性

system()関数の戻り値を適切にチェックし、エラー発生時には処理を中断する、ログを記録するなど、堅牢なエラーハンドリングを実装することがセキュリティ上も重要です。エラーを無視すると、予期せぬ状態や攻撃の兆候を見逃す可能性があります。

system()関数のセキュリティリスクや制御の粗さを避けるために、いくつかの代替手段が存在します。これらは一般により安全で、プロセス制御の柔軟性が高まりますが、実装はsystem()より複雑になる傾向があります。

1. POSIX環境: fork() + exec() ファミリー関数

Linux, macOSなどのPOSIX準拠システムでは、以下の関数群を組み合わせて使うのが最も標準的で強力な方法です。

• fork(): 現在のプロセスを複製し、新しい子プロセスを作成します。親プロセスと子プロセスはfork()呼び出しの直後から並行して実行されます。fork()は親プロセスには子プロセスのPIDを、子プロセスには0を返します。
• exec() ファミリー関数 (execl, execv, execle, execve, execlp, execvp): 現在のプロセスイメージを新しいプログラムイメージで置き換えます。つまり、exec関数を呼び出すと、呼び出したプログラムのコードはそれ以降実行されず、指定された新しいプログラムが実行を開始します。成功した場合、exec関数は呼び出し元に戻りません。
  • l (execl, execle, execlp): コマンドライン引数を個別の文字列引数として可変長で渡します (リスト形式)。
  • v (execv, execve, execvp): コマンドライン引数を文字列の配列 (ベクトル形式) で渡します。
  • e (execle, execve): 実行するプログラムに渡す環境変数を明示的に指定できます。
  • p (execlp, execvp): コマンド名だけを指定した場合、PATH環境変数を使って実行ファイルを探します。
• wait() / waitpid(): 親プロセスが子プロセスの終了を待機し、その終了ステータスを取得するために使用します。これにより、ゾンビプロセス（終了したが親プロセスにステータスを回収されていないプロセス）の発生を防ぎます。
• pipe() / dup2(): 子プロセスの標準入力、標準出力、標準エラー出力をリダイレクトしたり、パイプを使って親子プロセス間で通信したりする場合に使用します。

この方法の利点は以下の通りです。

• シェルを介さないため、シェルメタ文字の解釈によるコマンドインジェクションのリスクが根本的に排除されます。引数はそのまま新しいプログラムに渡されます。
• 実行するプログラム、引数、環境変数を完全に制御できます。
• 標準入出力のパイプやリダイレクトを柔軟に設定できます。
• エラーハンドリングをより細かく行えます。

欠点は、system()に比べてコードが長くなり、プロセス管理の理解が必要になることです。

簡単な概念例 (エラー処理は省略):

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h> // fork, execvp, pipe, dup2
#include <sys/wait.h> // waitpid

int main(void) {
    char *cmd = "ls";
    char *args[] = {"ls", "-l", "/tmp", NULL}; // 実行コマンドと引数の配列 (最後はNULL)
    pid_t pid;
    int status;

    pid = fork();

    if (pid < 0) {
        // fork 失敗
        perror("fork failed");
        exit(EXIT_FAILURE);
    } else if (pid == 0) {
        // --- 子プロセスのコード ---
        // execvp は PATH を検索して "ls" を実行し、args を引数として渡す
        execvp(cmd, args);

        // execvpが戻ってきた場合、それはエラーが発生したことを意味する
        perror("execvp failed");
        exit(EXIT_FAILURE); // 子プロセスを終了
    } else {
        // --- 親プロセスのコード ---
        printf("子プロセス (PID: %d) の終了を待機中...\n", pid);
        // 子プロセスが終了するのを待つ
        waitpid(pid, &status, 0);

        if (WIFEXITED(status)) {
            printf("子プロセスは正常終了しました。終了コード: %d\n", WEXITSTATUS(status));
        } else {
            printf("子プロセスは異常終了しました。\n");
        }
    }

    printf("親プロセス終了。\n");
    return 0;
}

2. Windows API: CreateProcess()

Windows環境では、CreateProcess() API関数（またはその派生関数）がプロセスを生成するための基本的な方法です。これはfork+execに相当する機能を提供し、実行ファイル、コマンドライン引数、環境変数、プロセスのセキュリティ属性、標準入出力のハンドルなどを詳細に制御できます。

CreateProcessはシェルを介さずに直接プログラムを起動するため、system()のようなシェルメタ文字によるコマンドインジェクションのリスクはありません。ただし、APIの使い方はPOSIXのfork/execとは異なり、Windows特有の知識が必要です。

3. popen() / pclose()

popen()関数（POSIXおよび一部のWindows環境で利用可能）は、system()と似ていますが、実行するコマンドの標準入力または標準出力に接続されたパイプを作成し、そのパイプに対するストリーム（FILE*）を返します。これにより、コマンドの出力を読み取ったり、コマンドに入力を送ったりすることがsystem()よりも容易になります。

#include <stdio.h>
#include <stdlib.h>

#define BUF_SIZE 256

int main(void) {
    FILE *pipe_fp;
    char buffer[BUF_SIZE];

    // "ls -1" コマンドを実行し、その標準出力を読み取るためのパイプを開く
    // (Windowsでは "dir /b" など)
    pipe_fp = popen("ls -1", "r"); // "r" は読み取りモード
    if (pipe_fp == NULL) {
        perror("popen failed");
        return 1;
    }

    printf("--- ls -1 の出力: ---\n");
    // パイプから1行ずつ読み込んで表示
    while (fgets(buffer, sizeof(buffer), pipe_fp) != NULL) {
        printf("%s", buffer);
    }
    printf("---------------------\n");

    // パイプを閉じる。戻り値でコマンドの終了ステータスを確認できる (systemと同様)
    int status = pclose(pipe_fp);
    if (status == -1) {
        perror("pclose failed");
    } else {
         // POSIX環境では WIFEXITED/WEXITSTATUS などで詳細を確認
         printf("コマンド終了ステータス: %d\n", status);
    }

    return 0;
}

注意点: popen()も内部でシェルを呼び出すため、system()と同様にコマンドインジェクションのリスクがあります。信頼できない入力をコマンド文字列に含める場合は、system()と同じ注意が必要です。

どの方法を選ぶべきか？

結論として、セキュリティと制御の柔軟性を重視するならば、fork() + exec() ファミリー（POSIX）または CreateProcess()（Windows）の使用が強く推奨されます。 system() や popen() は、その手軽さから魅力的に見えますが、特に外部入力を扱う際には細心の注意を払うか、使用を避けるべきです。

C言語のsystem()関数は、プログラム内からシェルコマンドを実行するための便利な手段を提供します。ヘッダstdlib.hをインクルードし、実行したいコマンド文字列を渡すだけで、簡単にOSの機能を利用できます。

しかし、その利便性には大きな代償が伴います。system()関数は内部でシェルを呼び出すため、特にユーザー入力などの信頼できないデータをコマンド文字列に組み込む場合、コマンドインジェクションという深刻なセキュリティ脆弱性を容易に引き起こします。また、PATH環境変数の問題や、戻り値の解釈が環境依存である点なども考慮が必要です。

推奨されるプラクティス:

• 信頼できない入力をsystem()に渡さない。どうしても必要な場合は、厳格な検証と無害化を行う（ただし非常に困難）。
• コマンドプロセッサの機能（パイプ、リダイレクトなど）が不要な場合は、system()を使用しない。
• セキュリティと制御の柔軟性が求められる場合は、fork() + exec() (POSIX) や CreateProcess() (Windows) などの代替手段を優先する。
• 実行するコマンドはフルパスで指定するか、環境変数を適切に管理する。
• 常にsystem()関数の戻り値を確認し、エラー処理を適切に行う。
• プログラムは最小権限で実行する。

system()関数は、そのリスクを十分に理解し、限定的な状況（例: 完全に信頼できる固定コマンドの実行）でのみ、慎重に使用すべき関数と言えるでしょう。多くの場合、より安全で制御性の高い代替手段を選択することが、堅牢でセキュアなソフトウェア開発につながります。💪

• cppreference.com – system: 関数の基本的な説明と例 (英語)
  (Web検索などで “cppreference system” と検索してください)
• CERT C Coding Standard – ENV33-C. Do not call system() if you do not need a command processor: system() 関数のリスクと代替手段に関するセキュリティガイドライン (英語)
  (Web検索などで “CERT C ENV33-C” と検索してください)
• man ページ (Linux/macOS): ターミナルで man 3 system と入力すると、システムの詳細なドキュメントを参照できます。

(注: 上記の参考情報は一般的な情報源を示すものであり、特定のURLを推奨するものではありません。)