Afdrukvoorbeeld
Ik vraag me eigelijk af wat jullie nu doen in zo,n geval.
Zijn er hosters die die door rekenen aan hun klanten?
(ergens gelezen)
Ik vindt niet dat de klant hier de dupe van hoeft te zijn.
Wel hebben wij 1 klant gewaarschuwd dat als het nog een keer gebeurd dat wij het dataverkeer zullen gaan door rekenen. Dit omdat wij verleden week al vermeld hadden dat zei hun script moesten aanpassen naar formmail. dit was niet gebeurd. en hopa weer 50GB aan spam verstuurd.
Toch echt niet.Citaat:
Origineel geplaatst door Mikey
Die funtie is hardstikke goed, de scripter is hier toch echt wel de schuldige!
De functie laat het toe dat je meerdere e-mail adressen 'inject' in een variabele die expliciet bedoeld is voor een enkel e-mail adres of subject e.d.
Verderop in de functie kun je namelijk je additionele headers (dus BCC: e.d.) toevoegen.
Kortom; het is het wel degelijk een foutieve implementatie in PHP zelf.
Neemt niet weg dat scripters in hun code moeten voorkomen dat deze misbruikt wordt.
//edit: typo
Ik denk dat je beter een dergelijk script als onderstaand kunt verspreiden onder je klantenkring, of aan de mensen die er problemen mee hebben:
PHP Code:<?php
function secure($input) {
return str_replace("\n", "", str_replace("\r", "", $input) );
}
foreach($_POST AS $name => $value) {
$_POST[$name] = secure($value);
}
?>
Ik zou (in het geval van alle scripts aanpassen) de mail() functie laten stoppen op het moment van header injection.
Anders krijg je alsnog 50000 bouncemails terug :(
Of een php-explode op de newlines waardoor je enkel het eerste mailadres gebruikt ;)Citaat:
Origineel geplaatst door Easewood
Ik zou (in het geval van alle scripts aanpassen) de mail() functie laten stoppen op het moment van header injection.
Anders krijg je alsnog 50000 bouncemails terug :(
Wat is een voorbeeld van een inject ?
Nee, het is niet dat ik het zelf wil doen.
In het Subject form field iets zetten van
"Hallo\n
Bcc: aaaa@aol.com, bbbb@aol.com, cccc@aol.com\n\n
Hello do you want VIAGRA?\n\n"
Waarbij \n een regeloverloop is.
Klote PHP.
Je mail form wordt dan op een andere server gedraaid, of een verzend script wordt aangeroepen, en de spammer vult zelf de data.
Op regels als 'Subject' wordt dan via het eigen script een '\nbcc: spam@email.tld' toegevoegd, waardoor de mail header dus wordt uigebreid.
Je moet er dus voor zorgen dat het niet mogelijk is om voor velden die bedoeld zijn voor 1 regel tekst, er meerdere in te stoppen.
Dan verstuur je nog steeds een spambericht :DCitaat:
Origineel geplaatst door WH-Tim
Of een php-explode op de newlines waardoor je enkel het eerste mailadres gebruikt ;)
Nja, ik zelf gebruik gewoon een reguliere expressie voor mailforms. Misschien wel wat onhandiger qua leestekens, maar wel op en top veilig.