コマンドインジェクション — 入力が、コマンドになる

次は、入力が OS のシェルコマンドとして解釈される穴です。SQL インジェクションと双子のような穴で、直しの発想もそっくり——データとコードを混ぜない。

法と倫理ゲート

手を動かす前に

このコースは攻撃の技術に触れます。実習してよい相手は、次の3つだけです。

• (a) 自分で作った練習用のやられ環境(このサイトが配る自作ターゲット)
• (b) あなた自身の許可された環境(自分の Thousand SKY・secret-notes-ctf など)
• (c) CTF 競技の中(規約の範囲で)

実在する第三者のシステムを許可なく触ることは、不正アクセス禁止法に触れます。 このゲートは、その線引きを毎回の入口で確かめるためのものです。詳しくは「セキュリティの法と倫理」へ。

上の (a)(b)(c) の範囲だけで実習することに同意します。

標的 — シェルであいさつを作る(悪い例)

「入力された名前であいさつ文を作る」だけの機能を、わざとシェル経由で書いた例です。vuln-greet.js として保存します。

// vuln-greet.js — 学習用「わざと穴を空けた」あいさつ生成。127.0.0.1 だけで動かす。
// 狙う穴: コマンドインジェクション(入力をシェルコマンドに連結している)。
const http = require('node:http');
const { exec } = require('node:child_process');

const server = http.createServer((req, res) => {
  const url = new URL(req.url, 'http://127.0.0.1:3400');

  if (url.pathname === '/greet') {
    const name = url.searchParams.get('name') || 'ゲスト';
    // 【穴: コマンドインジェクション】入力を、そのままシェルに渡す文字列へ連結。
    // exec はシェル経由で実行するので、区切り記号が「効いて」しまう。
    exec('echo こんにちは、' + name, (err, stdout, stderr) => {
      res.writeHead(200, { 'Content-Type': 'text/plain; charset=utf-8' });
      res.end('出力:\n' + stdout + (stderr ? 'エラー:\n' + stderr : ''));
    });
    return;
  }

  res.writeHead(200, { 'Content-Type': 'text/plain; charset=utf-8' });
  res.end('例: /greet?name=はると');
});

server.listen(3400, '127.0.0.1', () => console.log('やられあいさつ: http://127.0.0.1:3400 (Ctrl+C で停止)'));

node vuln-greet.js

正規の動きを確かめます。

http://127.0.0.1:3400/greet?name=はると

出力: こんにちは、はると と返ります。サーバは内部で echo こんにちは、はると というコマンドをシェルで実行しています。

攻撃 — 別のコマンドを、くっつける

シェルは、&& や ; のような区切り記号で複数のコマンドをつなげられます。名前欄にそれを混ぜたら?

http://127.0.0.1:3400/greet?name=はると && whoami

修正 — そもそも、シェルを介さない

いちばん素直な直しは、「そもそもシェルを使わない」ことです。あいさつ文を作るのに、外部コマンドは要りませんでした。文字列は JavaScript の中で組み立てれば済みます。

// 直したあと(本命): 外部コマンドを使わず、文字列は自分で組み立てる。
const greeting = 'こんにちは、' + name;
res.writeHead(200, { 'Content-Type': 'text/plain; charset=utf-8' });
res.end('出力:\n' + greeting);

では、どうしても外部プログラムを動かす必要があるとき(画像変換など)は? そのときも、SQL のプレースホルダと同じ発想を使います。

再検証 — もう一度、&& whoami を

「シェルを使わない」版に直してサーバを再起動し、さっきの攻撃をもう一度。

http://127.0.0.1:3400/greet?name=はると && whoami

今度は whoami は実行されず、出力: こんにちは、はると && whoami と、入力が丸ごと文字としてあいさつに入るだけです。&& はただの文字になりました。注入する先(シェル)が無くなったので、注入も成立しません。

持ち帰る一言

まずシェルを疑い、要るなら引数配列で。 コマンドインジェクションの直しは、①そもそもシェルを介さない、②必要なら execFile/spawn に引数配列で渡す。SQL のプレースホルダと同じ「データとコードを分ける」発想です。次は、入力がテンプレートの式になる SSTI と、パス越境の復習です。