「シェルコード」とは何か【前編】

「シェルコード」とは？　凶悪なマルウェア感染を可能にする手口

攻撃者がマルウェアを感染させるための使う手段として「シェルコード」がある。どのような仕組みを持ち、どのような危険性があるのか。

公開 2020年02月03日 05時09分

更新 2020年02月03日 20時34分

著者

Michael Cobb

[TechTarget]

印刷する

　「シェルコード」はコンピュータを攻撃するための、機械語で書かれたプログラムだ。「シェル」とは「Linux」の「bash」や「Windows」の「コマンドプロンプト」といった、コンピュータに対する命令を解釈するソフトウェアを指す。本来シェルコードとは、文字通り「シェルを呼び出し、そこでコマンドを実行させるためのプログラム」を表す単語だった。今では、たとえシェルを呼び出さなくても、実行中のアプリケーションに挿入された段階で実行可能になる機械語のプログラムを指すようになった。

併せて読みたいお薦め記事

さまざまなコマンドシェル

バッファオーバーフローを知る

　バッファ（一時的な記憶領域）に許容量を超えるデータを書き込む脆弱（ぜいじゃく）性「バッファオーバーフロー」を悪用した攻撃や、シェルに読み込ませる文字列を使ってメモリの値を不正に読み書きする「書式文字列攻撃」に、シェルコードが悪用される。攻撃者は標的のアプリケーションで致命的なエラーを発生させ、そのアプリケーションがシェルコードを実行するように仕向ける。

　攻撃者がシェルコードを悪用する目的はさまざまだ。シェルコードは、侵入先のコンピュータを不正操作するためのツール群「rootkit」や、一見無害だが特定の条件で攻撃活動をするマルウェア「トロイの木馬」のインストールに加え、マルウェア対策機能の停止、不正なファイルのアップロード／ダウンロードなどを可能にする。

シェルコード悪用の仕組み

　シェルコードを作成するためには、機械語や「C」「C++」などの一般的なプログラミング言語、プロセッサのアーキテクチャ、標的とするOSの仕組みに関する深い知識が求められる。例えばWindowsを狙うシェルコードは、Linuxを狙うシェルコードとは大きく異なる。

　アプリケーションや機能がデータを正しく検証しないことが、シェルコードの悪用を可能にする要因だ。OSは変数、定数、配列などのデータを保持するために記憶領域を確保する。そうした記憶領域がバッファだ。一般的にコンピュータがプログラムを読み込んだりプログラムを実行したりする間に、バッファは動的に作成される。バッファの許容量を超えるデータが送り込まれるとバッファオーバーフローが発生する。収まり切らないデータが他の記憶領域やバッファにあふれ出し、その記憶領域にあるデータの一部あるいは全部を上書きしてしまうのだ。

　シェルコードによる攻撃を防ぐためにソフトウェア開発者は、プログラムがどれくらいの量のデータを書き込むのかを適切に見積もる必要がある。「Java」や「C#」といった高度なメモリ管理機能を持つプログラミング言語は、そうしたメモリ管理によるエラーは起こりにくい。だがCやC++のように高度なメモリ管理機能が備わっていないプログラミング言語で書かれたアプリケーションについては、シェルコードによるメモリ悪用の危険性を考慮しなくてはいけない。

　米国標準技術研究所（NIST）の脆弱性データベース「Common Vulnerabilities and Exposures」の統計によると、バッファオーバーフローに起因する被害は2017年から2018年にかけて急増した。複数の攻撃者が高度な符号化を利用しているため、侵入検知システム（IDS）によるシグネチャの照合ではシェルコードを検出することが難しくなっている。ではどのような対策がシェルコードによる攻撃に対して有効なのだろうか。後編で紹介する。