【初心者向け】OSコマンドインジェクション攻撃の仕組みと対策を簡単に紹介

「サイバー攻撃の種類と被害」記事一覧 更新日: 2025年11月19日

【初心者向け】OSコマンドインジェクション攻撃の仕組みと対策を簡単に紹介

この記事ではOSコマンドインジェクション攻撃の仕組み、事例、対策をご紹介していきます。

OSコマンドインジェクション攻撃を受けないための対策が7分程度でわかりますのでご覧ください。

OSコマンドインジェクションとは？

「OSコマンドインジェクション攻撃」を知るためには、「シェル」と「パラメータ」を理解しなくてはなりません。

OSコマンドインジェクションの仕組み

Webアプリケーション内では入力されたメールアドレスなどと一緒に、プログラムに命令する文字列が組み立てられます。
そのためシェルはこの悪意ある文字列の命令をそのまま解釈し、「パスワードを盗め」などの命令を実行してしまうのです。

OSコマンドインジェクション攻撃を受けたときの影響

OSコマンドインジェクション攻撃を受けると以下のような被害を受けます。

DDoS攻撃はインターネットを通じて複数のPCから、攻撃相手のPCなどに大量の不正なデータを送りつけ、相手のPCを機能停止させることです。

詳しくDDoS攻撃を知りたい方は以下の記事をご覧ください。

DoS攻撃とは？【種類・事例・対策法】をわかりやすく解説

1行プログラムを書くことで複数のプログラムを起動できるソフトウェアの「シェル」が、OSコマンドインジェクション攻撃を受ける原因です。
プログラムで「シェル」を呼び出せるようにしていると、OSコマンドインジェクション攻撃を受けやすくなります。

OSコマンドインジェクション攻撃の事例

日テレ「43万件」の個人情報漏洩

2016年日本テレビにおいて、モバイルサイトで利用する「ケイタイキット」と呼ばれるソフトウェアが、OSコマンドインジェクション攻撃を受けました。
これは「ケイタイキット」に含まれる脆弱性が原因であると、発表されています。

攻撃者は「ケイタイキット」上に不正な遠隔操作プログラムを設置し、それを利用してシステム内部を操作することで、不正に情報を取得した事例です。

このOSコマンドインジェクション攻撃の結果、最大で43万件に及ぶ個人情報（氏名・住所・電話番号など）が、外部に流出しました。

日本テレビでは速やかに、不正アクセスが行われる原因となった脆弱性のあるソフトウェアを削除し、個人情報などのデータを別の安全な場所に移動する対策を講じています。

被害を受けた関係者に対して連絡を取り、外部の専門家による調査委員会を設置し、原因の究明と再発防止策の実施を行いました。

J-WAVE「64万件」の個人情報流出

2016年J-WAVEは同社WebサイトにOSコマンドインジェクション攻撃があり、「最大で64万件の個人情報が流出した可能性がある」と発表しました。

流出した可能性のある情報は、J-WAVEのWebサイトから番組宛に送られたメッセージや、プレゼント応募者の個人情報である名前・住所・メールアドレス・電話番号などです。

OSコマンドインジェクション攻撃はアクセスログの解析から、「ケイタイキット」の脆弱性を突いたものだと判明しています。
開発元の「アイデアマンズ」はセキュリティチェック用のツールを公開しました。

OSコマンドインジェクション攻撃の対策

OSコマンドインジェクション攻撃の一番の対策は、WebサイトでOSコマンド（命令）を呼び出さないプログラムを作ること。

さらに侵入を検知する仕組みの構築、問題発生の影響を小さくする対策も必要です。

では具体的にお伝えしていきます。

対策①OSコマンド呼び出しを使用しない実装方法を選ぶ

OSコマンドインジェクションが起こる原因は、ユーザーが入力したデータによってOSコマンドを作ってしまうことにあります。

日本テレビやJ-WAVEのOSコマンドインジェクション攻撃も、そうした脆弱性から攻撃者に侵入されています。

そのためまずはWebサイトのプログラムでOSコマンドを呼び出しているところを洗い出し、現状を把握します。
現状を把握したら、OSコマンドを使用しないプログラム作りの検討が必要です。

対策②シェル呼び出し機能のある関数を利用しない

OSコマンドインジェクション攻撃の問題は、入力したメールアドレスなどに攻撃者が悪意ある命令を設定し、それをソフトウェアの「シェル」が実行してしまう点です。

OSコマンドインジェクションを防御する別のプログラムに変更できない場合は、プログラムの中で「シェル」を呼び出さない関数を使う必要があります。

例えばユーザーが「あいうえお」と入力したら、「アイウエオ」とカタカナで戻ってくるような仕組みのことです。
別の関数を使うことで「シェル」は呼び出されなくなります。

対策③WAFの導入

OSコマンドインジェクション攻撃の対策として「WAF」の導入が有効です。

「WAF」はOSコマンドインジェクション攻撃がWebサーバーに到達する前に検知し、サイバー攻撃者の悪意あるリクエストをブロックしてくれます。

自社で開発したプログラムではなく、「WordPress」などのCMSで脆弱性が見つかった場合は、開発元がバージョンアップするのを待たなくてはなりません。

そのような場合でも「WAF」はセーフティーネットとしての役割を果たし、攻撃を受けた際の影響を少なくできます。

WAFについて詳しく知りたい方はこちらの記事をご覧ください。

WAFとは？仕組みや導入メリットを初心者にも分かりやすく解説！

対策④オールインワンで安心！「Cyber Box Pro」

OSコマンドインジェクション攻撃に「Cyber Box Pro」を採用するのも、有効な手段となります。

Cyber Box Proは「バックアップ」「ログ管理」「セキュリティ」が一つになった商品なので、個々にそろえるより便利でコストも大幅に抑えることが可能です。

3つの機能により詳細な分析の実行と、悪意のある振る舞いの特性を識別し、OSコマンドインジェクション攻撃から守ります。

「Cyber Box Pro」はネットワーク通信を検査してウィークポイントに対する脅威をブロックし、ダウンロード書類の不整合をチェックして脆弱性への攻撃を遮断します。

またウイルスが侵入しそうなところを検査し、メモリー上で不審なプログラムコードをあぶりだし、マルウェアの中心的なサーバーとの通信状態を明らかにすることで、OSコマンドインジェクション攻撃を防ぎます。

まとめ

サイバー攻撃も絶えず進化しているため、新しい手法が次々と登場します。
そのため脆弱性への対処にはスピードが要求されます。

まずは脆弱性を洗い出し、会社のWebサイトがOSコマンドインジェクション攻撃を受けた場合も素早く検知し、効率的でスピーディーに対処できるよう準備を整えることが大切です。