Onderwerp: open relay mail script

Ik heb exact het zelfde op 3 servers waarvan 1 thuis.. echt te lijp..

Laatste tijd ook veel voorbij zien komen. Wordt allemaal veroorzaakt door het ontbreken van server-side validatie van de invoer in PHP-mail scripts (bv. contactformulieren). Helaas zijn enkele figuren (^$@%$#) op het geniale idee gekomen om hier scripts voor te schrijven die websites afschuimen op zoek naar "zwakke" mailscripts met een bijzondere interesse voor mailforms. Uiteraard met de bedoeling deze te gebruiken voor SPAM-praktijken.

Het heeft ons de laatste weken (te) veel tijd gekost (ook om klanten uit te leggen wat nu feitelijk het probleem is). Antwoorden als "ja maar we gebruiken toch een java-script controle".

Omdat het niet mogelijk is om alle bestanden van alle klanten te controleren kunnen we alleen maar passief optreden (zo controleren we alle mailbounces op dit moment). Een lek script trekken we direct uit de lucht (chmod 000) en dan informeren we de eigenaar en laten deze de aangepaste code naar ons doorsturen voordat we de block verwijderen.

Erg vervelend, maar het is niet anders

tsja, moeten ze maar leren coden he

Is er niets iets server-globaals in te stellen (php.ini?) om serverside validatie af te dwingen?

Je zou kunnen validaten met een eigen script. Je verwijst in php.ini naar dat script die op zijn beurt weer de sendmail binary aanspreekt, na validatie.

Volgens mij zou dit moeten werken.

Als je wilt heten hoe je een goed mailscript maakt:

http://www.google.nl/search?hl=nl&q=...e+zoeken&meta=

Erg veel goede sites worden hier gevonden.

Voor zover bij mij bekend zou het wel mogelijk moeten zijn op enige manier een limiet in te stellen op het maximaal aantal mail adressen.
Hoe? Don't ask, nooit meer heen gezocht.

Een en ander is natuurlijk wel te voorkomen door je klanten al een standaard contactformulier-verzendertje aan te bieden (zoals xs4all dat ook doet)... kan wat schelen.

Sommige blacklists geven trouwens de mogelijkheid om de mails waarover het gaat te bekijken, erg handige tooltjes om heel snel te zien waarom en hoe.

wie poste nou laatst deze link daar ook al over: http://computerbookshelf.com/email_injection/

een goed script maken is voor mij zelf geen probleem.

Het gaat om mijn klanten. Wil dus iets server-globaals waarmee ik die checks kan doen.

Origineel geplaatst door CharlieRoot
een goed script maken is voor mij zelf geen probleem.

Het gaat om mijn klanten. Wil dus iets server-globaals waarmee ik die checks kan doen.

Geachte klant,

blablalba

gebruik:
scripts.i-trends.nl/mail/formail.php

bla bla bla instructies...bla bla bla..



Zij ze zien het als gratis service en jij weer van een hoop spam verlost.

Vervolgens kun je overwegen om mail() uit te schakelen en alleen op verzoek (na controle) weer in te schakelen als je ook van klantje-pesten houd natuurlijk

Origineel geplaatst door CharlieRoot
een goed script maken is voor mij zelf geen probleem.

Het gaat om mijn klanten. Wil dus iets server-globaals waarmee ik die checks kan doen.

Ik bedoel het dus anders. In php.ini heb je de configuratie directive sendmail_path. Daar kun je dus bijvoorbeeld parameters aan je sendmail commando toevoegen, maar ook eigen script aanroepen die de data nogmaals controleert.

Punt is natuurlijk wel hoe je weet dat data in orde is of niet. Misschien niet helemaal de bedoeling maar wel effectief is het filteren van CC en BCC adressen.

Nadat de controle heeft plaats gevonden pipe je het gebeuren door naar de sendmail binary.

Capiche?

Origineel geplaatst door iDiensten
Voor zover bij mij bekend zou het wel mogelijk moeten zijn op enige manier een limiet in te stellen op het maximaal aantal mail adressen.
Hoe? Don't ask, nooit meer heen gezocht.

Ik gebruik sendmail als MTA en ik heb een limit van 5 in gesteld doormiddel van: O MaxRecipientsPerMessage=5
Als er nu meer dan 5 mail adressen instaan dan wordt de mail rejected.
Dit is een oplossing om spam tegen te gaan, maar eigelijk niet de goede.

Even een vraagje nog.
Kan me iemand een PM sturen hoe je een mail form kunt testen of deze spam tegen houd?
Het gaat erom wat je in moet vullen bij:
1. Naam:
2. E-Mail:
3. Bericht:
Ik heb hier enkele mailforms op de server gevonden die ik wil testen.
Alvast bedankt

Wij hebbe dit laatst ook gwhad, vee lspam mail naar @aol enzo, en het leek gedaan te zijn door een PHPnuke lek

Origineel geplaatst door AlexanderOnline
Wij hebbe dit laatst ook gwhad, vee lspam mail naar @aol enzo, en het leek gedaan te zijn door een PHPnuke lek

Niet alleen een PHPnuke lek. Gewoon brakke scripting van klanten.
dat bekende webwinkelscript heeft er ook last van. En zelf gemaakte scripjes ook.

En soms krijg je reactie's als, ja maar is een heel bekent script dat door veel mensen wordt gebruikt, dus dat kan niet. Eisen ze hun site per direct online.

En dan de klant maar uitleggen dat ze ook update's moeten uitvoeren, als ze zoiets gaan plaatsen.

Ik probeer dit nog steeds zoveel mogelijk op te vangen via de mod_security rules.

Ik zit te twijfelen om dit probleem als PHP-bug te submitten, feitelijk staat php toe dat er bij de headers door een extra newline over kan worden gegaan op de body, en dat is strict genomen een bug. Wat denken jullie, submitten als bug of niet?

Origineel geplaatst door skunkah
Ik zit te twijfelen om dit probleem als PHP-bug te submitten, feitelijk staat php toe dat er bij de headers door een extra newline over kan worden gegaan op de body, en dat is strict genomen een bug. Wat denken jullie, submitten als bug of niet?

ze zouden het script zo kunnen aanpassen dat je standaard maar 1 iemand kunt mailen, tenzij je een 2e argument meegeeft die je op true zet waarna je regeleindes enzo kunt gebruiken....
maar of ze het gaan doen :P

(en zie ook de post NA mij :P... die nog maar eens netjes uitlegt waarom ze het waarschijnlijk niet gedaan hebben :P)