情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
外部コマンドを呼ぶ処理
条件を整理し、答えを選んでから解き方を確認しましょう。
画像変換のため利用者入力のファイル名をシェルコマンド文字列へ連結する。まず検討する根本対策はどれか。
答え・解き方を読む
シェル経由の呼出しを避け専用API等で処理
考える順序
- 1入力がシェル構文として解釈される境界がある
- 2シェルを呼ぶ必要のない方法を優先
- 3利用するAPIでも入力や対象ファイルを制限する
選択肢ごとの理由
- 正解 · シェル経由の呼出しを避け専用API等で処理
入力がシェル構文として解釈される境界がある。シェルを呼ぶ必要のない方法を優先。利用するAPIでも入力や対象ファイルを制限する。
- 比較 · HTML出力のエスケープだけ追加
HTMLの文脈とシェルの文脈は異なります。
- 比較 · SQLのプレースホルダだけ導入
SQL文の保護はシェル構文の混入を防ぎません。
- 比較 · 通信経路だけをVPN化
通信路を守っても受信後の解釈の問題は残ります。