上へ

コマンドインジェクション

ウェブサーバーのOSで使われるコマンドを注入する攻撃のことを言います。この攻撃は、system()、passthru()、exec()、popen()、shell_exec()などの関数を利用されることで発生します。OSコマンドインジェクションとも呼ばれていますが、この攻撃はOSのコマンドだけでなく、外部コマンドを実行させることでも発生します。

攻撃される場所

外部からのリクエストをsystem()関数などのパラメータ(引数)で受け取ることで発生します。例えば以下のコードを記述したファイルに適当な名前(ここではcommand.php)を付けて、そのURLの末尾に「?file=%3Bchmod+555+command.php%3B」と追記するとパーミッションの値がリアルタイムで変更されてしまいます。また、下記コードではリアルタイムで出力させるために「system('ls -la ' . $command);」としていますが、「system($command);」として「ls -la」をGETパラメータとして渡しても同様です。その場合、一回分遅れて出力されるようですが、FTPでのパーミッションはリアルタイムで変更されます。

if(isset($_GET['file']) === true){
$command = $_GET['file'];
}else{
$command = '/';
}
echo "<pre>";
system('ls -la ' . $command);
echo "</pre>";

GETパラメータ

GET送信で挿入するパラメータはurlencode()関数を使って文字列をURLエンコードすることで簡単に作成されてしまいます。そして下記コードの「555」という値を他の数字にするとパーミッションの値が変更されます。仮に「777」とされた場合、「すべてのユーザが書き込み可能」となります。

echo urlencode(';chmod 555 command.php;');
// system()関数の引数のコマンドは、「;」で区切ると複数指定できます
// 以下は複数のコマンドをurlencode()関数でエンコードする例
echo urlencode('ls -la ;chmod 555 command.php;');

対策

escapeshellarg()を使います。この関数はシェル引数として使われる文字列をエスケープします。また、if文の最初で、nullバイトを除去して誤作動を起こさせないようにします。

if(isset($_GET['file']) === true){
$command = str_replace("\0", '', $_GET['file']);
}else{
$command = '/';
}
echo "<pre>";
system(escapeshellarg($command));
echo "</pre>";

コマンドが使える関数の例

system()は外部プログラムを実行して出力します。
passthru()は外部プログラムを実行して未整形のものを出力します。
exec()は外部プログラムを実行します。popen()はプロセスへのファイルポインタをオープンします。
shell_exec()はシェルでコマンドを実行し、文字列として出力全体を返します。
いずれも引数にコマンドを指定できる関数です。