Onderwerp: open relay mail script

Origineel geplaatst door skunkah
Ik zit te twijfelen om dit probleem als PHP-bug te submitten, feitelijk staat php toe dat er bij de headers door een extra newline over kan worden gegaan op de body, en dat is strict genomen een bug. Wat denken jullie, submitten als bug of niet?

Feitelijk is het geen bug in de PHP mail()-functie. Heb je de mailinglists en fora er op na geslagen, bij php.net is hier heel veel informatie over te vinden.
Overigens bestaat het lek niet alleen in de PHP mail()-functie, maar ook in ASP's CDONTS enz. Dit is al jaren geleden ontdekt en bekend gemaakt.

Onlangs hebben wij dit probleem ook gehad, er bleek ook een zelf gefabriceerd mailscript van een klant niet helemaal waterdicht te zijn.

Ik zat er nu over te denken om een script te maken die alle php files op de server afgaat en op zoek gaat naar de 'mail' functie. Volgens mij zou je de herkomst van de variabelen die gebruikt worden kunnen terugzoeken en zo niet veilige scripts kunnen achterhalen.

Maurice,

doen. Zeker. En daarna te koop aanbieden.

Zeker weten dat je niet de enige bent die het graag wil weten..

Ik zal er van de week eens even mee aan de slag gaan. Als er meer geïnteresseerde zijn dan hoor ik dat uiteraard graag

Origineel geplaatst door mauriceb
Ik zal er van de week eens even mee aan de slag gaan. Als er meer geïnteresseerde zijn dan hoor ik dat uiteraard graag

Bij deze dan..

Keep me posted

keep me informed

Origineel geplaatst door mauriceb
Ik zal er van de week eens even mee aan de slag gaan. Als er meer geïnteresseerde zijn dan hoor ik dat uiteraard graag

Bij deze, ook voor hulp bij scripten mag je roepen.

Nog een vraagje......

hoe uitgebreid zou je zo'n script willen zien?

In de eenvoudige versie zoek je binnen php files naar alle mail() functies en kijk je of er rechtstreeks een post variabele wordt aangeroepen zoals bv:
mail("info@domein","onderwerp",
"bericht","FROM: ".$_POST["email"]);

Maar moeilijker wordt het bij:
$headers = $_POST["email"];
mail("info@domein","onderwerp","bericht","FROM: ".$headers);

Wij hier nu ook last van, hele IP range blocklisted .

Iemand al een goede oplossing middels Mod_Security rules?

Zijn er nog ontwikkelingen ? Wij hebben hier ook last van.

*kick *

Oorspronkelijk geplaatst door Hostingprovider

Zijn er nog ontwikkelingen ? Wij hebben hier ook last van.

Welke provider heeft er geen last van kan je eerder vragen...

Er is een Cpanel patch voor php's mail() functie, waarmee sowieso de domeinnaam waar het script staat in een X-header geplaatst wordt.

http://choon.net/php-mail-header.php

Een script dat alle .php bestanden afzoekt op "foutief" gebruik van de mail() functie lijkt me vrij zinloos (hoewel het initiatief natuurlijk goed is): er is een ongelimiteerd aantal mogelijkheden dat fout kan zijn.

Code:

mail($to,$subject,$message, ."From: ".$_POST['from']);

kan ook geschreven worden als

Code:

$from = $_POST['from'];
mail($to,$subject,$message, ."From: ".$from);

Hoe laat je een automated script controleren of er bijvoorbeeld wel een trim() op $_POST['from'] heeft plaats gevonden?

Oorspronkelijk geplaatst door Digiover

Code:

mail($to,$subject,$message, ."From: ".$_POST['from']);

kan ook geschreven worden als

Code:

$from = $_POST['from'];
mail($to,$subject,$message, ."From: ".$from);

Hoe laat je een automated script controleren of er bijvoorbeeld wel een trim() op $_POST['from'] heeft plaats gevonden?

Dat is op zich wel mogelijk, maar dat is niet zo'n heel erg simpel script. Toch zal je een script IMO met de hand moeten bekijken om het echt te beoordelen. Het script waar mail () wordt gebruikt kan best een bestand aanroepen met functies die alle input waar nodig aanpast.
Om dat nu even helemaal met een automatisch script te doen... wel een leuke uitdaging die wellicht geld waard is.

Maar het kan een beter idee zijn om de mail() functie van PHP aan te passen. Ben daar al mee bezig geweest maar echt optimaal was het nog niet

Oorspronkelijk geplaatst door crazycoder

Maar het kan een beter idee zijn om de mail() functie van PHP aan te passen. Ben daar al mee bezig geweest maar echt optimaal was het nog niet

Ben je zelf bezig geweest, of heb je een bestaande patch gebruikt? Onze ideeen gaan richting het porten van de Cpanel patch naar de Windows versie van PHP en dan zelf PHP compileren. Maar hieromtrent is nog niks zeker.

Dus als je er ervaringen mee hebt, dan hoor ik dat graag