OSコマンドインジェクションとは？おーえすこまんどいんじぇくしょん
OSコマンドインジェクションとは、外部からの入力をシェル経由でOSコマンドに渡す実装に対し、コマンドの区切り文字を混入させて任意のコマンドを実行させる攻撃。Webサーバの権限で自由に操作できるようになり、遠隔操作プログラムの設置や横展開まで到達し得る。
最終更新：2026-10-07
この語が出る過去問を解く →具体例
宛先アドレスを外部コマンドへ渡すメール送信機能に、コマンド連結の記号を含む文字列を入れて別のコマンドを走らせる。対策はシェルを介さないAPIを使い、コマンドと引数を配列で分けて渡し、シェルに解釈させないこと。
試験での引っ掛け
SQLインジェクションが狙うのはデータベース、こちらはOSであり被害の広がり方が違う。またブラックリスト方式の文字除去は抜けが生じやすく、シェルを使わない実装にするのが本筋である。
関連用語
出た過去問
出典：令和7年度 春期 高度試験 午前Ⅰ 問14（IPA）
Webアプリケーションソフトウェアの開発におけるOSコマンドインジェクション対策はどれか。
正解：シェルを起動できる言語機能を利用した実装を避ける。
要点：OSコマンドインジェクション対策はシェル起動を使わない
OSコマンドインジェクションは、外部入力がOSのシェルに渡されて意図しないコマンドが実行される脆弱性である。根本的な対策は、シェルを経由して外部プログラムを起動する言語機能そのものを使わず、必要なら引数を配列で直接渡すAPIを用いることである。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (7) 攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。