[ThinkIT] 第2回：OSコマンド・インジェクションã¨ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング (1/4)
Webアプリケーションã«ã‚ˆã£ã¦ã¯ã€å¤–部ã‹ã‚‰ã®æ”»æ’ƒã«ã‚ˆã‚Šã€Webサーãƒã®OSコマンドをä¸æ£ã«å®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã†å•é¡Œã‚’æŒã¤ã‚‚ã®ãŒã‚ã‚Šã¾ã™ã€‚ã“ã®å•é¡Œã‚’悪用ã—ãŸæ”»æ’ƒæ‰‹æ³•ã¯ã€ä¸€èˆ¬ã«ã€ŒOSコマンド・インジェクションã€ã¨å‘¼ã°ã‚Œã¦ã„ã¾ã™ã€‚ OSコマンド・インジェクションã®è„†å¼±æ€§ãŒã‚ã‚‹å ´åˆã€æ‚ªæ„ã‚るリクエストã«ã‚ˆã‚Šã€Webサーãƒå´ã§æ„図ã—ãªã„OSコマンドを実行ã•ã›ã‚‰ã‚Œã€é‡è¦æƒ…å ±ãŒç›—ã¾ã‚ŒãŸã‚Šã€æ”»æ’ƒã®è¸ã¿å°ã«æ‚ªç”¨ã•ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ OSコマンド・インジェクション攻撃をå—ã‘ãŸå ´åˆã€Webサーãƒã«ä¿å˜ã•ã‚Œã¦ã„ã‚‹é‡è¦æƒ…å ±ã‚’ä¸æ£ã«å–å¾—ã•ã‚ŒãŸã‚Šã€WebサーãƒãŒæ”»æ’ƒã®è¸ã¿å°ã¨ã—ã¦æ‚ªç”¨ã•ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ OSコマンド・インジェクションã®å¯¾ç–ã¨ã—ã¦ã€æ¬¡ã®å†…容をã”検討ãã ã•ã„。 æ ¹æœ¬çš„è§£æ±ºã«ã¯ã€Œã‚·ã‚§ãƒ«ã‚’èµ·å‹•ã§ãる言語機能ã®åˆ©ç”¨ã‚’é¿ã‘ã‚‹ã€ãŒã‚ã‚Šã¾ã™ã€‚ ã“ã‚Œã¯ã€OSコマンド・インジェクションã®åŽŸå› を作らãªã„実装ã§ã™ã€‚Web
脆弱性辞典/OSコマンド・インジェクション - ã‚»ã‚ュアプãƒã‚°ãƒ©ãƒŸãƒ³ã‚°ã—よã†ã€‚
脆弱性辞典/OSコマンド・インジェクション 別称：OS Command Injection æ¦‚è¦ â€ å¤–éƒ¨ã‹ã‚‰ã‚µãƒ¼ãƒä¸Šã®ä»»æ„ã®OSコマンドãŒå®Ÿè¡Œå¯èƒ½ã¨ã„ã†è„†å¼±æ€§ã€‚ã„ããªã‚Šã‚µãƒ¼ãƒã‚’壊ã•ã‚ŒãŸã‚Šã€ä¹—ã£ãŸã‚‰ã‚ŒãŸã‚Šã€ãƒ•ã‚¡ã‚¤ãƒ«ãŒæµå‡ºã—ãŸã‚Šã™ã‚‹å¯èƒ½æ€§ã®ã‚ã‚‹éžå¸¸ã«æ·±åˆ»åº¦ã®é«˜ã„脆弱性ã§ã™ã€‚ åŽŸå› â€ å†’é ã®ç”»åƒã¯ã€sendmailコマンドを利用ã—ã¦ãƒ¡ãƒ¼ãƒ«é€ä¿¡ã‚’ã™ã‚‹å‡¦ç†ã«æ··å…¥ã—ãŸOSコマンド・インジェクション脆弱性を示ã—ãŸã‚‚ã®ã§ã™ã€‚利用者ãŒãƒ•ã‚©ãƒ¼ãƒ ã«ãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã‚’入力ã™ã‚‹ã¨ã€ãã®ãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã«å¯¾ã—ã¦è‡ªå‹•çš„ã«ãƒ¡ãƒ¼ãƒ«ã‚’é€ä¿¡ã™ã‚‹ã¨ã„ã†ã‚‚ã®ã§ã™ã€‚具体的ã«ã¯æ¬¡ã®ã‚ˆã†ãªå‡¦ç†ã§ã™ï¼ˆPerl）。 my $mail = CGI::param('mail'); open(MAIL, "|/usr/lib/sendmail $mail"); print MAIL "Subject: registered\n"; print
OSコマンドインジェクションを防ãルールを作æˆã™ã‚‹
OSコマンドインジェクションを防ãルールを作æˆã™ã‚‹ï¼šWebアプリケーションã«æ½œã‚€ã‚»ã‚ュリティホール（13）（1/3 ページ） ※ã”æ³¨æ„ ä»–ç¤¾ãŠã‚ˆã³ä»–組織ã®Webサイトãªã©ã¸ã®ãƒãƒ¼ãƒˆã‚¹ã‚ャンãŠã‚ˆã³ãƒ‡ãƒ¼ã‚¿ã®å–å¾—ãªã©ã®è¡Œç‚ºã§å¾—ãŸæƒ…å ±ã‚’ä¾µå…¥ãªã©ã«æ‚ªç”¨ã™ã‚‹ã‹ã€ã¾ãŸã¯åŒã˜ç›®çš„ã‚’æŒã¤ç¬¬ä¸‰è€…ã«æä¾›ã—ãŸæ™‚点ã§é•æ³•ã¨ãªã‚Šã¾ã™ã€‚ã”注æ„ãã ã•ã„。 本稿ã®å†…容を検証ã™ã‚‹å ´åˆã¯ã€å¿…ãšå½±éŸ¿ã‚’åŠã¼ã•ãªã„é™ã‚‰ã‚ŒãŸç’°å¢ƒä¸‹ã§è¡Œã£ã¦ä¸‹ã•ã„。 ã¾ãŸã€æœ¬ç¨¿ã‚’利用ã—ãŸè¡Œç‚ºã«ã‚ˆã‚‹å•é¡Œã«é–¢ã—ã¾ã—ã¦ã¯ã€ç†è€…ãŠã‚ˆã³æ ªå¼ä¼šç¤¾ã‚¢ãƒƒãƒˆãƒžãƒ¼ã‚¯ãƒ»ã‚¢ã‚¤ãƒ†ã‚£ã¯ä¸€åˆ‡è²¬ä»»ã‚’è² ã„ã‹ãã¾ã™ã€‚ã”了承ãã ã•ã„。 å‰å›žã¯ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングを防ãルールを作æˆã—ãŸã€‚今回ã¯ã€OSコマンドインジェクション用ã®ãƒ«ãƒ¼ãƒ«ã‚’考ãˆã¦ã¿ã‚‹ã“ã¨ã«ã—よã†ã€‚OSコマンドã¯ä½¿ç”¨OSã«ã‚ˆã£ã¦ç•°ãªã‚‹ãŸã‚ã€ä»Šå›žã¯UNIXç³»OSå‘ã‘ã®ãƒ«ãƒ¼ãƒ«ã‚’作æˆã™ã‚‹ã€‚ ãªãŠã€å‰å›žã®ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
Command Injection - OWASP
{{#tags}}- {{label}}
{{/tags}}