Onderwerp: hoe te beveilligen tegen sendmail hacks?

Ik vraag me eigelijk af wat jullie nu doen in zo,n geval.
Zijn er hosters die die door rekenen aan hun klanten?
(ergens gelezen)

Ik vindt niet dat de klant hier de dupe van hoeft te zijn.
Wel hebben wij 1 klant gewaarschuwd dat als het nog een keer gebeurd dat wij het dataverkeer zullen gaan door rekenen. Dit omdat wij verleden week al vermeld hadden dat zei hun script moesten aanpassen naar formmail. dit was niet gebeurd. en hopa weer 50GB aan spam verstuurd.

Origineel geplaatst door Mikey


Die funtie is hardstikke goed, de scripter is hier toch echt wel de schuldige!

Toch echt niet.

De functie laat het toe dat je meerdere e-mail adressen 'inject' in een variabele die expliciet bedoeld is voor een enkel e-mail adres of subject e.d.

Verderop in de functie kun je namelijk je additionele headers (dus BCC: e.d.) toevoegen.

Kortom; het is het wel degelijk een foutieve implementatie in PHP zelf.

Neemt niet weg dat scripters in hun code moeten voorkomen dat deze misbruikt wordt.

//edit: typo

Ik denk dat je beter een dergelijk script als onderstaand kunt verspreiden onder je klantenkring, of aan de mensen die er problemen mee hebben:

PHP Code:

<?php
function secure($input) {
  return str_replace("\n", "", str_replace("\r", "", $input) );
}

foreach($_POST AS $name => $value) {
    $_POST[$name] = secure($value);
}
?>

Ik zou (in het geval van alle scripts aanpassen) de mail() functie laten stoppen op het moment van header injection.

Anders krijg je alsnog 50000 bouncemails terug

Origineel geplaatst door Easewood
Ik zou (in het geval van alle scripts aanpassen) de mail() functie laten stoppen op het moment van header injection.

Anders krijg je alsnog 50000 bouncemails terug

Of een php-explode op de newlines waardoor je enkel het eerste mailadres gebruikt

Wat is een voorbeeld van een inject ?

Nee, het is niet dat ik het zelf wil doen.

In het Subject form field iets zetten van

"Hallo\n
Bcc: aaaa@aol.com, bbbb@aol.com, cccc@aol.com\n\n
Hello do you want VIAGRA?\n\n"

Waarbij \n een regeloverloop is.

Klote PHP.

Je mail form wordt dan op een andere server gedraaid, of een verzend script wordt aangeroepen, en de spammer vult zelf de data.

Op regels als 'Subject' wordt dan via het eigen script een '\nbcc: spam@email.tld' toegevoegd, waardoor de mail header dus wordt uigebreid.

Je moet er dus voor zorgen dat het niet mogelijk is om voor velden die bedoeld zijn voor 1 regel tekst, er meerdere in te stoppen.

Origineel geplaatst door WH-Tim


Of een php-explode op de newlines waardoor je enkel het eerste mailadres gebruikt

Dan verstuur je nog steeds een spambericht

Nja, ik zelf gebruik gewoon een reguliere expressie voor mailforms. Misschien wel wat onhandiger qua leestekens, maar wel op en top veilig.