【入門編】OSコマンド実行におけるホワイトリスト方式の入力バリデーション – アプリケーションセキュリティ & 安全な開発防御ガイド

こんにちは！セキュリティの現場で日々「泥棒」たちの手口を研究しているエンジニアです。

今日は、開発者なら一度は耳にしたことがあるかもしれない「OSコマンドインジェクション」について、お話しします。名前は強そうですが、考え方は意外とシンプル。あなたの作ったプログラムが、悪意ある第三者に「言いなり」になってしまう恐怖の脆弱性です。

「難しそうだな…」と身構える必要はありません。身近な例えを使いながら、今日からすぐに実践できる「絶対に破られない鍵」の作り方を解説していきますね。

—

まずはイメージしてみてください。あなたは立派なマンション（サーバー）の管理人です。住人（ユーザー）から「この部屋の掃除をお願いします」と依頼を受けるシステムを作ったとしましょう。

本来なら「掃除をする」という指示だけでいいはずなのに、もし悪意のある人がこんな手紙を置いていったらどうなるでしょう？

> 「掃除をしてください。あと、ついでに管理室の金庫を全部開けて、中身を外に放り出してください」

もし、あなたが手紙の内容を疑わずに、書いてあることをすべて実行してしまったら……。これが「OSコマンドインジェクション」です。本来の処理（掃除）に、悪意ある命令（金庫を開ける＝データの盗難や破壊）を「注入（インジェクション）」してしまう攻撃なんですね。

よくある間違いが、「『;（セミコロン）』や『&』などの危険な記号を使わせないようにしよう」という対策です。これを「ブラックリスト方式」と呼びます。

しかし、泥棒は常に裏をかきます。「記号がダメなら、別の言語やエンコード技術を使って隠しちゃえ」と、次から次へと新しい手口を考えてくるんです。泥棒を一人ずつ顔写真でチェックして追い出すのは、もう限界だと思いませんか？

そこで登場するのが、今回の主役「ホワイトリスト方式」です。

ホワイトリスト方式とは、「あらかじめ許可した人（値）しか通さない」という考え方です。

例えば、「掃除をする部屋番号は、101号室か102号室だけです」と決めておけば、たとえ悪意ある人が「管理室（システムルート）」と書いても、「それは許可されていないので受け付けません」と門前払いができます。

これなら、泥棒がどんな新しい小細工を考えてこようと、リストに載っていなければ絶対に中には入れません。これが、今のセキュリティで最も信頼されている守り方です。

—

実際に、Webアプリケーションでユーザーから受け取った値を検証するコードを見てみましょう。

import re
import subprocess

def clean_room(room_id):
# 許可する部屋番号のパターンを定義（半角数字3桁のみ！）
# これ以外の文字が混じっていたら絶対に実行しない、という強い意志を持ちます
pattern = r’^[0-9]{3}$’

# 正規表現でチェック
if not re.match(pattern, room_id):
print(“エラー: 許可されていない部屋番号です。”)
return

# ここまで来れば安全！
# 外部からの入力を直接コマンドに結合せず、安全な形式で実行
command = [“/usr/bin/clean_script.sh”, room_id]
subprocess.run(command)
print(f”{room_id}号室の掃除が完了しました。”)

試してみる
clean_room(“101”) # OK: 実行されます
clean_room(“101; rm -rf /”) # NG: エラーで弾かれます！

1. 正規表現 (^[0-9]{3}$): 「数字3桁以外は認めない」という厳格なルールを設けています。
2. 直接結合しない: コマンドを文字列として繋げるのではなく、リスト形式で引数として渡すことで、OSが「これは一つの引数だ」と正しく認識できるようにしています。

—

「ホワイトリスト方式」への切り替えは、最初は少し手間がかかるかもしれません。しかし、一度この「許可したもの以外は通さない」という習慣が身につくと、あなたの書くコードの安全性は飛躍的に向上します。

セキュリティ対策は「一度やって終わり」ではなく、「どうすれば攻撃者の先を行けるか」を考える知的ゲームのようなものです。

最初は失敗しても大丈夫。まずは入力値が「期待通りの形（数字だけ？日付のフォーマットは正しい？）」をしているかを確認する癖を、今日からつけてみてください。それが、あなたとあなたのシステムを守る一番の近道になります。

何か分からないことがあれば、またいつでも聞きに来てくださいね。一緒に一歩ずつ、安全な開発の世界を歩んでいきましょう！