Bekijk Volledige Versie : Rare spam via contactformulier
firehosting
12/09/05, 15:43
Hallo,
Al enige tijd word ik in ruime maten ondergespamd via mijn contactformulier op mijn website.
Het gaat om www.firehosting.nl/contact.php. Hierheen word vanuit verschillende IP's rechtstreeks gepost.
Een bericht ziet er bijvoorbeeld zo uit:
---------
Naam: qyaciqyr@firehosting.nl
Email-adres: qyaciqyr@firehosting.nl
Onderwerp: qyaciqyr@firehosting.nl
Bericht:
qyaciqyr@firehosting.nl
Content-Type: multipart/mixed; boundary=\"===============1686037514==\"
MIME-Version: 1.0
Subject: 66fc87f6
To: qyaciqyr@firehosting.nl
bcc: jrubin3546@aol.com
From: qyaciqyr@firehosting.nl
This is a multi-part message in MIME format.
--===============1686037514==
Content-Type: text/plain; charset=\"us-ascii\"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
rtxgbg
--===============1686037514==--
User Agent:
User IP:
70.85.77.100
-------------
Heeft iemand enig idee hoe ik dit kan stoppen en wat het is? Het komt van zeer veel verschillende IP's, rechtstreeks op de contactpagina. Men komt dus niet eerst op de index pagina of een andere pagina.
Heeft iemand tips, of ideeen om dit te stoppen?
Alvast bedankt,
Marcel.
Via een google search op het aol e-mail kwam ik uit op:
http://www.anders.com/cms/75/Crack.Attempt/Spam.Relay
firehosting
12/09/05, 16:16
Thanx Sernate!
Had zelf al wel gekeken maar doordat de mail adressen steeds veranderen had ik die hoop opgegeven.
Helaas heb ik momenteel nog geen tijd om het probleem te verhelpen maar op http://www.anders.com/projects/sysadmin/formPostHijacking/ word de oplossing tevens gezet.
Sernate, bedankt voor je snelle reactie, ik ga er straks direct mee aan de gang.
Groeten,
Marcel.
ik heb me eigen mailadressen geblokt.
Ik ga me eigen toch niet mailen via het contact formuliertje.
maar wel erg zuur!!
Aangezien ze een mailadres van je eigen domein gaan gebruiken, werkt het goed. :S
Ik heb er zelf ook last van. Als iemand een oplossing heeft (Behalve eigen domeinblokeren) hoor ik het graag.
V. Kleijnendorst
12/09/05, 19:11
In je PHP scriptje filteren op de verschillende gebruikte regels?
firehosting
12/09/05, 19:15
Ben er helaas ook nog mee bezig en kom er niet helemaal uit.
Strippen van de code \n & \r zou het moeten zijn, maar geloof dat dat niet echt werkt bij mij :S
Mocht iemand weten hoe exact moet hoor ik en andere het graag....
Een geheel ander script mag ook aangezien ik deze makkelijk in de layout kan aanpassen....
Marcel.
Hoewel niet 100% failsafe(1) zou je een CAPTCHA (http://www.captcha.net/) toe kunnen voegen aan je formulier.
Het verwijderen van linefeed & carriage return zal ik morgen eens testen. Wat klanten bij ons hebben er ook wel wat last van.
(1)WebApp Sec: Defeating CAPTCHA (http://seclists.org/lists/webappsec/2005/Jul-Sep/0428.html)
Ik ben dit probleem ook tegen gekomen bij ons. Helaas nog geen oplossing gevonden (ook nog niet echt mee bezig geweest).
He, dat ziet er bekent uit ik heb dat ook maar dan in een gastenboek en ook onder zijn eigen domein vaag?
firehosting
12/09/05, 19:47
Origineel geplaatst door Digiover
Hoewel niet 100% failsafe(1) zou je een CAPTCHA (http://www.captcha.net/) toe kunnen voegen aan je formulier.
Vraag me niet waarom, maar hier komen ze doorheen....
Heb het er zelf onder gezet al bij mij en het werkt. Tenminste, geef ik iets ander op als wat er zou moeten staan dan word de mail niet verzonden. Geef ik het goede in wel. Het werkt wel is mijn conclusie dan.
MAAR die troep komt er om wat voor'n reden dan ook gewoon doorheen....
Ben er nog mee bezig en ziet er goed uit, zodra ik het voor elkaar heb zal ik het hier melden.
Groeten,
Marcel
wbakker-letsgoonline
12/09/05, 20:36
Wij hebben ook dit probleem en zijn op het moment bezig om hiervoor een script te schrijven zodat deze proxies in een blacklist komen en er een filter in ons contact form komt.
V. Kleijnendorst
12/09/05, 20:44
if (strpos($bericht, 'multi-part message' !== false){
exit;
}
Een klant van ons heeft dat sins enkele dagen ook op z'n contact formulier.
Aangezien er toch nimmer vanuit 't eigen e-mail adres toch nooit gebruikt gemaakt word van 't formulier gaan wij dat blokken.
Voor zo ver ik kan zien is dat de enigste directe oplossing.
Hoewel te overriden zou zelfs een fatsoenlijke refer-check al vertraging opleveren (refer-checks zijn eenvoudig te omzeilen). En hier gaat het deels om, het de spammer zo moeilijk mogelijk maken. Iedere vertraging is voor de spammer te veel vertraging.
Maar ik heb even snel getest met een mogelijke oplossing / advies gegeven op http://securephp.damonkohler.com/index.php/Email_Injection :
<?php
$from=$_POST["sender"];
if (eregi("\r",$from) || eregi("\n",$from)){
die("Why ?? :(");
}
?>
En dit lijkt vooralsnog redelijk goed te werken.
Heb er nu geen zin meer in om te testen in hoeverre dit weer te omzeilen valt.
//EDIT: @ mods, topic wellicht verplaatsen naar 'Scripting, Techniek & Beveiliging'?
Spammers worden met de dag slimmer. Inderdaad worden nu ook guestbooks, contact formulieren enzovoorts gespammed.
Als je de naam aanpast ben je tenminste voorlopig weer spamvrij. Verander contact.php (ligt ook te voor de hand, net als bv 'guestbook') in bijvoorbeeld kontakt.php.
crazycoder
13/09/05, 07:47
Origineel geplaatst door Henky!
Spammers worden met de dag slimmer. Inderdaad worden nu ook guestbooks, contact formulieren enzovoorts gespammed.
Als je de naam aanpast ben je tenminste voorlopig weer spamvrij. Verander contact.php (ligt ook te voor de hand, net als bv 'guestbook') in bijvoorbeeld kontakt.php.
En dat geloof je zelf?
Hoe stom denk jij dat spammers zijn?
Zorg er liever voor dat je code veilig is. Al het andere is slechts een tijdelijke 'oplossing'..
Als je een script gebruik als 'stuur naar vriend' zorg er dan voor dat er niet meer dan 1 adres in past. Zorg er ook voor dat ze niet vaker dan 1 keer per x seconden/minuten kunnen posten..
Verder is het natuurlijk van belang dat je vreemde tekens strip. De basis: vertrouw nooit input die je van een form krijg.
Dat is les 1 als je begin met het schijven van applicaties..
Overigens.. guestbook spam is bepaald niet nieuw.. komt al jaren voor.. Als je een blog heb weet je ook dat spammers daar graag in kladderen..