データベースへの攻撃でしょうか

質問

会員２５０人ほどの人をＰＨＰ＆Ｍｙｓｑｌで管理しています。
ハンドルネームを使用して、会員を管理していますが、ハンドルネームの欄に下記のようなソースが入っていました。ハンドルネームの欄は、全角入力すると文字化けを起こすのですが、自分でも全角入力で試してみたのですが、下のような現象は起きませんでした。これはデータベースに対する攻撃なのでしょうか。それとも、副数の方がログインして、同時にプログラムが動作し、プログラムが悪いためにこのようになっているのでしょうか。詳しい方宜しくお願いいたします。

-------------------------------------------------------------
ゆ"・・・/textarea>
</td>

</tr>
<tr class="odd">
<td align="center">syoukaisya</td>

<td align="center" nowrap="nowrap">
text </td>

<td>
<select name="funcs[multi_edit][0][syoukaisya]" onpropertychange="return unNullify('syoukaisya', '0')" tabindex="3007" id="field_3_1">
<option></option>
<option>ASCII</option>
<option>CHAR</option>
<option>SOUNDEX</option>
<option>LCASE</option>
<option>UCASE</option>
<option>PASSWORD</option>
<option>OLD_PASSWORD</option>
<option>MD5</option>
<option>SHA1</option>
<option>ENCRYPT</option>
<option>COMPRESS</option>
<option>UNCOMPRESS</option>
<option>LAST_INSERT_ID</option>
<option>USER</option>
<option>CONCAT</option>
<option>HEX</option>
<option>UNHEX</option>
<option value="">--------</option>
<option>NOW</option>
<option>RAND</option>
<option>COUNT</option>
<option>AVG</option>
<option>SUM</option>
<option>CURDATE</option>
<option>CURTIME</option>
<option>UTC_DATE</option>
<option>UTC_TIME</option>
<option>UTC_TIMESTAMP</option>
<option>FROM_DAYS</option>
<option>FROM_UNIXTIME</option>
<option>PERIOD_ADD</option>
<option>PERIOD_DIFF</option>
<option>TO_DAYS</option>
<option>UNIX_TIMESTAMP</option>
<option>WEEKDAY</option>
</select>
</td>
<td>
</td>
<td>
<input type="hidden" name="fields_prev[multi_edit][0][syoukaisya]" value="waka" />
<textarea name="fields[multi_edit][0][syoukaisya]"
rows="7"
cols="40"
dir="ltr"
id="field_3_3"
onpropertychange="return unNullify('syoukaisya', '0')" tabindex="7"
>waka

回答No.1

mpx · ベストアンサー

>> プログラムが悪いためにこのようになっているのでしょうか。

最も可能性が高いのは、全角文字列の文字コードに対する処理に問題があるためと考えます。
例 ブラウザから送られてくる文字コードは期待通りとは限らないが、
　　その対処がされていない。

SQLインジェクションの可能性も有りますが、例えそうだとしても
DBへの書込み内容のチェックが入っていない(または機能していない)
のは、プログラムに脆弱なところがあるのは確かですね。

お礼

ありがとうございました。
全角文字の文字コード変換の処理が問題の可能性が強いのですね。
早々に処理プログラムの対応をしてみます。