コマンドインジェクション（Command Injection）は、Webアプリケーションやシステムが外部のシェルコマンドを実行する際に、攻撃者が不正なコマンドを挿入し、システム上で任意のコードを実行させる攻撃です。この攻撃は、主にWebアプリケーションがユーザーからの入力を適切に検証しない場合に発生します。
コマンドインジェクションは、SQLインジェクションやクロスサイトスクリプティング（XSS）と同様に、ユーザー入力を信頼して処理するWebアプリケーションの脆弱性に依存しており、攻撃者はシステム全体を制御したり、重要なデータを窃取したりすることが可能です。
コマンドインジェクションの仕組み
Webアプリケーションが外部コマンドを実行するために、例えばsystem()やexec()のような関数を使用する場合、攻撃者が不正な入力をすることで、システムコマンドが挿入され実行されます。
例として、次のようなコードを考えてみましょう。
<?php $target = $_GET['target']; system("ping " . $target); ?>この場合、ユーザーは「target」というパラメータを通じて任意のIPアドレスを指定し、pingコマンドを実行します。しかし、もし攻撃者が次のような値を入力した場合：
; ls -la生成されるコマンドは次のようになります：
ping ; ls -laこの結果、pingコマンドの後にls -laコマンドが実行され、サーバー上のファイルが表示されます。つまり、ユーザー入力によりシステム上の任意のコマンドが実行されるという、極めて危険な状況が生じます。
コマンドインジェクションのリスク
コマンドインジェクション攻撃により、次のようなリスクが発生します：
システム全体の制御
攻撃者はシステム上で任意のコマンドを実行できるため、システム全体を制御することが可能です。
データの漏洩や改ざん
ファイルシステムにアクセスして機密情報を盗み取ったり、ファイルを変更・削除することができます。
リソースの悪用
サーバーのリソースが悪用され、DDoS攻撃や仮想通貨のマイニングなどに使われる危険性があります。
マルウェアのインストール
攻撃者がマルウェアをダウンロードしてサーバーにインストールし、さらにシステムを破壊または乗っ取る可能性があります。
コマンドインジェクションの防御策
コマンドインジェクション攻撃を防ぐためには、いくつかの重要な対策があります。
ユーザー入力の検証とサニタイジング
ユーザーからの入力は常に不審な内容が含まれている可能性があるため、入力を徹底的に検証します。特に、シェルで解釈される特殊文字（;, &, | など）をエスケープし、不正なコマンドが実行されないようにします。
外部コマンドの使用を避ける
シェルコマンドの実行を行わず、プログラム内で直接処理を行うか、適切なライブラリを使用することで外部コマンドへの依存を減らします。例えば、pingやlsなどの操作はシェル経由ではなく、専用のAPIや関数を使って処理することが推奨されます。
パラメータ化されたコマンドの使用
もし外部コマンドを実行する必要がある場合でも、コマンドのパラメータを厳密に制御し、パラメータ化された方法でコマンドを実行します。これにより、コマンドに余分な文字列が追加されることを防ぎます。
最小限の権限で実行
システムコマンドを実行するユーザーには、必要最低限の権限しか付与しないことで、攻撃者がアクセスできる範囲を制限します。これにより、万が一コマンドインジェクションが成功しても被害が最小限に抑えられます。
Webアプリケーションファイアウォール（WAF）の導入
WAFを導入することで、コマンドインジェクションのような攻撃パターンを自動的に検出しブロックすることが可能です。
コマンドインジェクションの具体例
以下は、コマンドインジェクションが実際に起こったケースの一例です。
CVE-2014-6271 (Shellshock)
この脆弱性では、Bashシェルの脆弱性を利用して、環境変数経由で任意のコマンドが実行されるという非常に深刻なセキュリティ問題が発見されました。この脆弱性は、多くのWebサーバーに影響を与え、広範囲にわたる攻撃が発生しました。
まとめ
コマンドインジェクションは、システム全体を乗っ取られる可能性のある重大な脆弱性です。ユーザー入力の適切な検証と、外部コマンドの使用を最小限に抑えることで、この攻撃からシステムを守ることが重要です。また、WAFや最小限の権限設定などを組み合わせて、多層的なセキュリティ対策を実施しましょう。