Formmail.asp firewall issue

[Stendec]

Hallo,

Omdat ik nu zelf mijn websites host op een windows machine moet ik ook
de formuliertjes e.d. van de site zelf afhandelen. Ik gebruikte hiervoor
formmail.pl, maar nu heb ik een windows machine en dan is het lastig
het script aan te passen om de juiste mailserver te laten vinden...;

$mailprog = '/usr/lib/sendmail -i -t';

Ik gebruik nu exchange namelijk...Dus dacht ik, laat ik het eens in .asp
proberen, maar ik heb een probleem met de beveiliging van het script.
Als in de referers in het asp script aanpas ontstaat een error bij het
verzenden (no referers), wanneer ik nu lokaal de firewall uitschakel heb
ik dat probleem niet, alles werkt prima. Nu heb ik als tussen oplossing
de referers verwijderd, maar dat lijkt me geen oplossing. Iemand
misschien ervaring met een beter form-to-mail .asp script met referers
beveiliging die geen last heeft van de firewall?

[Daniel Tryba]

Stendec <no@mail.com> wrote:
> de referers verwijderd, maar dat lijkt me geen oplossing. Iemand
> misschien ervaring met een beter form-to-mail .asp script met referers
> beveiliging die geen last heeft van de firewall?

Referers zijn totaal ongeschikt om ook maar te gebruiken voor enige vorm
van beveiliging... je moet je script dusdanig "beveiligen" dat het niet
mogelijk is om de ontvanger te wijzigen en in de response mail (indien je
die wilt gebruiken) alleen een vaste tekst te retouneren. Daarmee zou je
script totaal niet interessant moeten zijn voor spammers...

--

Daniel Tryba

[Stendec]

Daniel Tryba wrote:
> Stendec <no@mail.com> wrote:
>
>>de referers verwijderd, maar dat lijkt me geen oplossing. Iemand
>>misschien ervaring met een beter form-to-mail .asp script met referers
>>beveiliging die geen last heeft van de firewall?
>
>
> Referers zijn totaal ongeschikt om ook maar te gebruiken voor enige vorm
> van beveiliging... je moet je script dusdanig "beveiligen" dat het niet
> mogelijk is om de ontvanger te wijzigen

De ontvanger staat in het .html gedeelte....niet in het script....niet
veilig dan neem ik aan?

> en in de response mail (indien je
> die wilt gebruiken) alleen een vaste tekst te retouneren. Daarmee zou je
> script totaal niet interessant moeten zijn voor spammers...

Hoe bedoel je dat, 'vaste tekst'?

[Daniel Tryba]

Stendec <no@mail.com> wrote:
>> Referers zijn totaal ongeschikt om ook maar te gebruiken voor enige vorm
>> van beveiliging... je moet je script dusdanig "beveiligen" dat het niet
>> mogelijk is om de ontvanger te wijzigen
>
> De ontvanger staat in het .html gedeelte....niet in het script....niet
> veilig dan neem ik aan?

Hoe wil je voorkomen dat de mail ergens anders naartoe wordt gestuurd
als het to address afhangt van de input... MAW je hebt een relay script
online staan waar de spammers je hartstikke dankbaar voor zullen zijn.

>> en in de response mail (indien je
>> die wilt gebruiken) alleen een vaste tekst te retouneren. Daarmee zou je
>> script totaal niet interessant moeten zijn voor spammers...
>
> Hoe bedoel je dat, 'vaste tekst'?

Niet variabel... als de tekst variabel is kunnen spammers dus zelfd de
inhoud bepalen en zijn ze je wederom heel erg dankbaar.

--

Daniel Tryba

[Stendec]

Daniel Tryba wrote:
> Stendec <no@mail.com> wrote:
>
>>>Referers zijn totaal ongeschikt om ook maar te gebruiken voor enige vorm
>>>van beveiliging... je moet je script dusdanig "beveiligen" dat het niet
>>>mogelijk is om de ontvanger te wijzigen
>>
>>De ontvanger staat in het .html gedeelte....niet in het script....niet
>>veilig dan neem ik aan?
>
>
> Hoe wil je voorkomen dat de mail ergens anders naartoe wordt gestuurd
> als het to address afhangt van de input... MAW je hebt een relay script
> online staan waar de spammers je hartstikke dankbaar voor zullen zijn.
>

Ken jij een asp script dat de recipient verwerkt in het asp script ipv
in de html source?

[Daniel Tryba]

Stendec <no@mail.com> wrote:
>
> Ken jij een asp script dat de recipient verwerkt in het asp script ipv
> in de html source?
>

Alle scripts die ik zelf ooit geschreven heb... maar het is natuurlijk
triviaal om een script wat dat niet doet aan te passen...

s/Request("to").value/"foo@example.com"/g

(OID)

--

Daniel Tryba

[Stendec]

Daniel Tryba wrote:
> Stendec <no@mail.com> wrote:
>
>>Ken jij een asp script dat de recipient verwerkt in het asp script ipv
>>in de html source?
>>
>
>
> Alle scripts die ik zelf ooit geschreven heb... maar het is natuurlijk
> triviaal om een script wat dat niet doet aan te passen...
>
> s/Request("to").value/"foo@example.com"/g
>

Whhooo, ten eerste heb ik geen idee waar ik dit in het ASP script moet
plaatsen en of dat zomaar kan (I'm a script dummy), ten tweede begrijp
ik dat het beter is een ander script te gebruiken wat zoiets al
ingebouwd heeft.....Dan ga ik even op internet zoeken....Of heb je
misschien een suggestie?

Bedankt voor het analyseren in ieder geval!

[Daniel Tryba]

Stendec <no@mail.com> wrote:
>> Alle scripts die ik zelf ooit geschreven heb... maar het is natuurlijk
>> triviaal om een script wat dat niet doet aan te passen...
>>
>> s/Request("to").value/"foo@example.com"/g
>>
>
> Whhooo, ten eerste heb ik geen idee waar ik dit in het ASP script moet
> plaatsen en of dat zomaar kan (I'm a script dummy),

Je dient bovenstaande te lezen als: vervang overal waar de resulaten van
een form (Request object) met als naam bv "to" door de (statische) string
"foo@example.com"

> ten tweede begrijp
> ik dat het beter is een ander script te gebruiken wat zoiets al
> ingebouwd heeft

Ik zie niet in waarom dat zo zou zijn.

--

Daniel Tryba

[Jan Reilink]

Daniel Tryba wrote:

> Stendec <no@mail.com> wrote:
>
>>>Alle scripts die ik zelf ooit geschreven heb... maar het is natuurlijk
>>>triviaal om een script wat dat niet doet aan te passen...
>>>
>>>s/Request("to").value/"foo@example.com"/g
>>>
>>
>>Whhooo, ten eerste heb ik geen idee waar ik dit in het ASP script moet
>>plaatsen en of dat zomaar kan (I'm a script dummy),
>
> Je dient bovenstaande te lezen als: vervang overal waar de resulaten van
> een form (Request object) met als naam bv "to" door de (statische) string
> "foo@example.com"
>

Wij hebben het volgende op onze website staan:

| MailTo = "uwemailadres@domein.com"
|
| if request("_from") = "" then
| MailFrom = "website@uwdomein.com"
| else
| MailFrom = request("_from")
| end if
|
| if request("_subject") = "" then
| Subject = "Reactie via uw website"
|
| else
| Subject = request("_subject")
| end if
|
| Mailer.From = MailFrom
| Mailer.To = MailTo
| Mailer.Subject = Subject
[...]

_from en _subject moeten opgegeven worden in het HTML formulier, gebeurt
dit niet dan wordt de waarde door het script ingevuld. Ik geloof niet
dat het mogelijk is om middels een GET de variabelen te overrulen (zoals
mail.asp?MailerFrom=pietje@puk.invalid&MailerTo=victim@site.invalid&...)

Voor de OP, neem eens een kijkje op sites zoals www.aspin.com of
www.hotscripts.com. Hier staan veel scripts met veel uitleg.

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234

[Jan Ehrhardt]

Jan Reilink in nl.internet.www.server-side (Thu, 19 Aug 2004 14:58:20
+0200):

>Wij hebben het volgende op onze website staan:
>
>| MailTo = "uwemailadres@domein.com"
>|
>| if request("_from") = "" then
>| MailFrom = "website@uwdomein.com"
>| else
>| MailFrom = request("_from")
>| end if
[snip, snip]
>
>_from en _subject moeten opgegeven worden in het HTML formulier, gebeurt
>dit niet dan wordt de waarde door het script ingevuld.

En hoe verhinder je dat dit script wordt aangeroepen vanuit een HTML
formulier elders dan wel door middel van een PHP-post opdracht?

Jan
--
Look, Ma. No tables - http://enbio.steenbergen-stichting.nl/

[Jan Reilink]

Jan Ehrhardt wrote:

> Jan Reilink in nl.internet.www.server-side (Thu, 19 Aug 2004 14:58:20
> +0200):

[snip, snip]
>>_from en _subject moeten opgegeven worden in het HTML formulier, gebeurt
>>dit niet dan wordt de waarde door het script ingevuld.
>
>
> En hoe verhinder je dat dit script wordt aangeroepen vanuit een HTML
> formulier elders dan wel door middel van een PHP-post opdracht?
>

Ik moet toegeven dat ik het niet getest heb, maar:
Als het MailTo niet overruled kan worden middels een GET-request, dan is
het remote aanroepen geen enkel probleem (behalve dat het MailTo adres
een enorme lading e-mail kan krijgen).

Zal komend weekend eens leuk gaan spelen ;-)

--
Met vriendelijke groet / Best regards,
Jan Reilink, VEVIDA Nederland BV

Postbus 329, 9700 AH GRONINGEN, +31(0)50 - 5492234