「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

「OS」＋「コマンド」＋「インジェクション」で「OSコマンドインジェクション」です。



OSは「パソコンさんの人格に相当するソフト」ね。
「これが無いとパソコンじゃねーよ」な基本ソフトです。
パソコンさんは中にOSを入れることで、はじめてパソコンとしての お仕事が できます。



コマンドは「コンピュータさんに対する命令（命令文）」です。
コマンドをポチポチ打ち込むと、その内容に従って、コンピュータさんは動いてくれます。



インジェクションの意味は「注射」とか「注入」です。
プスっと挿して、ギュっと押し込むわけです。



以上を踏まえて

OSが解釈できるコマンドをインジェクションする攻撃

もう少し噛み砕いて書くと

コンピュータさんに対する命令を突っ込む攻撃

が「OSコマンドインジェクション」です。
あるいは、そのような攻撃ができる状態（セキュリティ上の欠陥、脆弱性）を指します。



それでは、どうやって命令を突っ込むのでしょうね？

答えは「パラメータ（外から入ってくる値）を使う」です。
プログラムに渡すパラメータを介して、実行させたいコマンドを突っ込みます。

例えば、メールアドレスをパラメータとして受け取って、メールを送るシステムが あったとしましょう。



中身の処理は、以下のように書いてあります。

パラメータを受け取るよ。

メールを送るよ。宛先は「【パラメータ】」ね。

このプログラムをピヨ太君が動かしました。



ピヨ太君は、パラメータとして

piyota@example.com

を渡しました。
そうすると、以下のように解釈されて、処理が実行されます。

パラメータを受け取るよ。

メールを送るよ。宛先は「piyota@example.com」ね。

処理が進むと「piyota@example.com」宛てにメールが送られます。



これは、作った人が想定している動きです。

次に、同じプログラムをアクマ君が動かしました。



アクマ君はいたずらっ子です。
パラメータとして

akuma@example.com」だよ。あと「空を飛んで

を渡しました。
今度は、以下のように解釈されて、処理が実行されます。

パラメータを受け取るよ。

メールを送るよ。宛先は「akuma@example.com」だよ。あと「空を飛んで」ね。

処理が進むと「akuma@example.com」宛てにメールが送られた後、パソコンさんが空を飛びます。



アクマ君は、作った人が想定していないようなパラメータを渡すことで、本来メールを送るだけのプログラムを使って、パソコンさんに空を飛ばせました。
これは

パラメータを介して、パソコンさんに対する命令を送り込んだ

と言えるでしょう。

このような攻撃がOSコマンドインジェクションです。
作った人が想定していない形でパラメータを渡すことで、コンピュータに任意のコマンドを実行させる攻撃を指します。

あるいは、OSコマンドインジェクション攻撃ができる状態を指して「OSコマンドインジェクション」と呼ぶこともあります。

どちらを指すかは文脈から判断してください。
OSコマンドインジェクションには「攻撃」と「脆弱性（弱いところ）」の2つの意味があります。



OSコマンドインジェクションは、作った人の盲点を突く攻撃です。
きちんと対策を取っておけば、できません。

例えば先ほどのプログラムも、以下のように変えればイタズラできなくなります。

パラメータを受け取るよ。

パラメータがメールアドレスの形式になっているかチェックするよ

メールを送るよ。宛先は「【パラメータ】」ね。

作る立場の人は、常に頭の片隅に置いておいてあげてください。

基本的には

１．パラメータの入力チェックを必ずやる
２．パラメータの値を用いたコマンド実行は、できるだけ避ける

を意識しておけば、避けられるはずです。