情報処理安全確保支援士平成29年春期 午前U 問12

午前U 問12

Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用し,不正にシェルスクリプトを実行させるものは,どれに分類されるか。
  • HTTPヘッダインジェクション
  • OSコマンドインジェクション
  • クロスサイトリクエストフォージェリ
  • セッションハイジャック
  • [この問題の出題歴]
  • 情報セキュリティ H23秋期 問16
  • 情報セキュリティ H26春期 問15
  • 安全確保支援士 H30秋期 問13

分類

テクノロジ系 » セキュリティ » 情報セキュリティ

正解

解説

OSコマンドインジェクションは、ユーザから受け付けた入力値をOSに対する命令文の一部として使用するシステムに対して、OSへの命令文を含む入力値を与えることで不正なOSコマンドを実行させ、ファイルの不正操作、外部プログラムの実行、パスワードの不正取得などを行う攻撃です。
  • HTTPヘッダインジェクションは、動的にHTTPヘッダを生成するシステムにおいて、HTTPヘッダ内に改行コードなどを不正挿入することによって、不正なヘッダ情報を挿入したり、任意の記述をメッセージボディに挿入したりする攻撃です。
  • 正しい。OSコマンドインジェクションは、入力値としてOSコマンドとして解釈される文字列を紛れ込ませることにより、システムに不正なOSコマンドを実行させる攻撃です。
  • クロスサイトリクエストフォージェリは、Webサイトに設置されたハイパリンクや実行されるスクリプトなどを通じて、別のサイトで閲覧者に意図しない不正操作を行わせる攻撃です。引き起こされる被害例としては、会員情報の変更、商品の購入などがあります。
  • セッションハイジャックは、TCPコネクションやクライアント−サーバ間の正規のセッションを奪い取る行為です。
© 2014-2021 情報処理安全確保支援士ドットコム All Rights Reserved.

Pagetop