コード・インジェクション｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. コード・インジェクション
             

コード・インジェクション

コード・インジェクション（Code Injection）とは、悪意ある攻撃者がアプリケーションの脆弱性を利用し、不正なコードを実行環境に挿入してシステムを操作したり、データを不正に取得したりする攻撃手法です。ユーザーからの入力や外部からのリクエストを不正に加工し、アプリケーションに意図しない操作をさせることで、攻撃者はシステムの制御権を得ることが可能になります。

コード・インジェクションは、主に入力のチェックが不十分なアプリケーションや、ユーザー入力を直接コードに埋め込んで実行しているプログラムが標的となります。一般的な攻撃例として、SQLインジェクション、JavaScriptインジェクション、シェルインジェクションなどがあり、Webアプリケーション、データベース、オペレーティングシステムなど、さまざまな環境で発生します。

コード・インジェクションの仕組み

コード・インジェクションの攻撃は、次のような手順で行われます。

  1. 脆弱性の調査
    攻撃者は、アプリケーションが不正なコードを許容するかどうかを調査します。主に、ユーザー入力がそのままコードとして実行される箇所があるか、入力チェックが不十分な箇所を探します。
  2. 不正コードの挿入
    脆弱性が見つかった場合、攻撃者は特定の命令やコードを入力欄やリクエストに埋め込みます。たとえば、SQLインジェクションの場合、SQLクエリを不正に操作する文字列を入力欄に挿入します。
  3. コードの実行
    アプリケーションは入力されたコードを不正な命令として処理し、攻撃者の意図通りに実行されます。これにより、データベースの情報取得、システムの操作、悪意あるコードの埋め込みなどが行われます。
  4. 攻撃の成功
    コード・インジェクションが成功すると、攻撃者はデータの窃取やシステム改ざん、さらなる不正コードの挿入など、幅広い攻撃が可能になります。

コード・インジェクションの主な種類

コード・インジェクションには、特に以下のような攻撃手法が一般的です。

1. SQLインジェクション

SQLインジェクションは、データベースクエリを不正に操作してデータを取得したり、データベースを改ざんしたりする攻撃手法です。ユーザー入力がSQLクエリに直接組み込まれる場合、SQL構文を変更して攻撃者の意図するデータベース操作を実行させることができます。

2. クロスサイトスクリプティング（XSS）

XSS（Cross-Site Scripting）は、Webページに悪意のあるJavaScriptコードを埋め込み、ページを閲覧したユーザーのブラウザで不正コードを実行させる攻撃です。これにより、セッション情報の盗取や、フィッシング詐欺の実行が可能になります。

3. OSコマンドインジェクション（シェルインジェクション）

OSコマンドインジェクションは、アプリケーションの脆弱性を利用し、サーバー上で任意のコマンドを実行させる攻撃手法です。シェルやコマンドラインが使用される環境において、ユーザー入力を直接OSコマンドに渡す場合に発生しやすく、システムファイルの改ざんや情報漏洩などに悪用されます。

4. LDAPインジェクション

LDAPインジェクションは、ディレクトリサービスへのクエリを不正に操作する攻撃手法で、Active DirectoryやOpenLDAPなどで用いられるLDAP（Lightweight Directory Access Protocol）を悪用します。これにより、ディレクトリ情報の改ざんや認証情報の取得が可能になります。

5. HTMLインジェクション

HTMLインジェクションは、ユーザー入力がHTMLコードとして実行される場合に、意図的にHTMLタグを挿入することで発生する攻撃です。たとえば、Webページに不正なリンクやボタンを埋め込み、ユーザーをフィッシングサイトに誘導することが可能になります。

コード・インジェクションによる被害

コード・インジェクションが成功すると、以下のような被害が発生するリスクがあります。

  1. データの窃取や改ざん
    SQLインジェクションなどにより、データベースから個人情報や機密データが不正に取得されたり、データが改ざんされたりします。
  2. システムの乗っ取り
    OSコマンドインジェクションにより、システムの管理権限を奪われるリスクがあり、攻撃者はシステム全体を操作することが可能になります。
  3. ユーザーへの被害拡大
    XSSやHTMLインジェクションにより、フィッシング詐欺のページを埋め込むことで、ユーザーの個人情報や認証情報を不正に取得する被害が拡大します。
  4. サービスの停止やリソース消費
    攻撃者が大量のリクエストを送ることで、サーバーが過負荷となり、サービス停止やリソースの大量消費を引き起こす場合があります。

コード・インジェクションの防止策

コード・インジェクションによる被害を防ぐためには、以下の対策が有効です。

1. 入力データの検証とエスケープ処理

ユーザー入力をそのままシステムやSQLクエリ、HTMLコードなどに組み込むのではなく、特殊文字のエスケープ処理を行い、不正なコードが実行されないようにします。

2. パラメータ化されたクエリの使用

SQLインジェクションを防ぐために、パラメータ化されたクエリ（プリペアドステートメント）を使用します。これにより、ユーザー入力がSQL構文として認識されなくなるため、不正なクエリが実行されるリスクが低減します。

3. アクセス権の最小化

システムやデータベースへのアクセス権を必要最低限に設定することで、攻撃者が侵入しても権限の範囲を限定できます。

4. セキュリティヘッダーの設定

Webアプリケーションには、XSS対策のためにContent-Security-Policy（CSP）などのセキュリティヘッダーを設定します。これにより、外部からのスクリプト実行が制限され、XSSのリスクが軽減します。

5. ログと監視の強化

異常な入力や不正アクセスをリアルタイムで検出するために、ログと監視を強化し、異常が発生した場合には早期に対応できる体制を整えます。

まとめ

コード・インジェクションは、アプリケーションの脆弱性を利用して不正コードを挿入し、データの窃取やシステムの改ざんなどを引き起こす攻撃手法です。SQLインジェクションやOSコマンドインジェクション、XSSなどさまざまな形態があり、入力チェックやパラメータ化、アクセス権の制御などでリスクを軽減できます。開発者は、これらの対策を適切に実装し、ユーザーの安全を確保することが重要です。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。