問36応用情報技術者 令和7年度 春期

解説

正解は2。リクエストの1行目に「user=;cat%20/etc/passwd」とある。%20は空白なので、パラメータの値は「;cat /etc/passwd」。「;」はシェルでコマンドを区切る記号で、続く「cat /etc/passwd」はUNIX系OSのアカウント情報のファイルを表示するコマンド。CGIが受け取った値をそのままシェルに渡していれば、任意のOSコマンドが実行されてしまう。これはOSコマンドインジェクションを狙ったもの。

• 1は、HTTPヘッダーインジェクションは、改行コード（%0d%0a）を混ぜて応答ヘッダーを不正に追加・分割させる攻撃で、このリクエストには改行コードがない。
• 3は、SQLインジェクションは、「'」やOR 1=1などSQL文を変える文字列を混ぜる攻撃。
• 4は、クロスサイトスクリプティングは、<script>などのスクリプトを混ぜて利用者のブラウザで実行させる攻撃。

根拠：IPA「安全なウェブサイトの作り方」（OSコマンド・インジェクション）。