平成27年度 秋期 ネットワークスペシャリスト試験 午前II 問20

• ア: HTTPヘッダーインジェクション
  誤り。HTTPヘッダーインジェクションは、HTTPヘッダーに対して不正なデータを挿入し、リダイレクトやスクリプトの実行などを引き起こす攻撃手法であり、OSコマンドの実行とは無関係です。

• イ: OSコマンドインジェクション
  正しい。OSコマンドインジェクションは、Webアプリケーションの脆弱性を利用して、外部から入力されたデータをOSのコマンドとして実行させる攻撃です。Perlのsystem関数やPHPのexec関数が脆弱である場合、不正なコマンドが実行される可能性があります。

• ウ: クロスサイトリクエストフォージェリ
  誤り。クロスサイトリクエストフォージェリ（CSRF）は、ユーザーが意図しない操作を第三者が強制的に実行させる攻撃手法であり、OSコマンドの実行とは異なります。

• エ: セッションハイジャック
  誤り。セッションハイジャックは、正当なユーザーのセッション情報を盗み取り、不正に利用する攻撃手法です。OSコマンドの実行には関与しません。

答え

イ: OSコマンドインジェクション