Webspace verschickt Spam

**wahsaga** · 15-08-2006, 11:22

Re: Webspace verschickt Spam

Original geschrieben von Breezzer
Ich habe absolut keine Scripte auf dem Webspace, die irgendwelche Mails verschicken, höchstens an mein eigenes POP3-Postfach.

Ja, letzteres glaubst du vielleicht ...

Informiere dich über "EMail Injection".

Eigentlich stört mich die ganze Sache nicht sonderlich, wenn ich ehrlich bin...

Ziemlich asozial - andere Leute werden mit noch mehr Spam "beglückt", weil du Mistscripte einsetzt.

nur der Fakt, dass mir mein Provider schon angekündigt hat, dass Spamversand eine Straftat ist hat mich etwas überrascht

Na hoffentlich sperrt er dir den Webspace so lange, bis du das Problem beseitigt hast.

**Breezzer** · 15-08-2006, 14:37

mitm falschen fuss aufgestanden?

ziemlich assozial, anndere leute alsassozial zu bezeichnen ohne ahnung zu haben was man von sich gibt? -.-

**jahlives** · 15-08-2006, 14:42

Also du musst in deinem webspace schon ein Script haben, das die mail() Funktion verwendet. Ggf im Zusammenhang mit einem Formular.
Das Stichwort Mailinjection ist ja schon gefallen und genau, das dürfte mit einem deiner Scripts passiert sein.
Also durchsuch mal alle Scripte nach der mail() und untersuche was für Daten du an die Fkt übergibst. Ich vermute, dass dir irgendwelche Daten untergeschoben werden können (auch wenn du es nicht glauben magst)

Gruss

tobi

p.s. wenn du die Fkt verwendest dann poste doch mal die relevanten Ausschnitte...

**wahsaga** · 15-08-2006, 14:43

Nein, ziemlich asozial, wenn es einem egal ist, dass über den eigenen Server/eigene Scripte andere Leute geschädigt werden.

**Breezzer** · 15-08-2006, 16:05

Original geschrieben von jahlives
p.s. wenn du die Fkt verwendest dann poste doch mal die relevanten Ausschnitte... [/B]

die mail-funktion verwende ich, allerdings mit einer (soweit ich im netz dazu infos gefunden habe und ich halte es selbst für richtig) sperre für \r und \n

das sieht dann im großen und ganzen immer so aus:

PHP Code:


if (strpos($_POST['name'],"\n") || strpos($_POST['name'],"\r")

                || strpos($_POST['email'],"\n") || strpos($_POST['email'],"\r"))

            die();

        

mail('empfänger@domain.de','Nachricht von ' . $_POST['name'] . '(' . $_POST['email'] . ')',

strip_tags($_POST['contact_inhalt']),'From: '.$_POST['name'].' <'.$_POST['email'].'>'));

Ist diese Methode noch sicher?
Denn sie wird zwar im Netz als sicher bezeichnet und ich hatte bisher auch noch nie Probleme mit Spam, allerdings könnte es ja gut sein, dass die Spammer mal wieder was neues auf Lager haben. Gibt es da etwas grundlegend Anderes oder ist dieser Weg der Spamverhinderung noch zu empfehlen?

grüßle
Breezzer

**jmc** · 15-08-2006, 16:48

OffTopic:
wahsaga weiss ja wohl wovon er spricht...
einen grossen Applaus zu deinem Kommentar...

**jahlives** · 15-08-2006, 17:23

Wenn ich mir deinen Code so anschaue, dann machst du eigentlich alles richtig. Was man noch bemängeln könnte wäre dass deine Schutzfkt nicht greift, wenn \n als erstes Zeichen kommt. Dann gibt strpos() nämlich 0 zurück was bei deinem Vergleich als false (nicht gefunden) gewertet würde.

PHP Code:


if(strpos($_POST['name'],"\n") !== false || strpos($_POST['name'],"\r") !== false ||

 strpos($_POST['email'],"\n") !== false || strpos($_POST['email'],"\r") !== false)

könnte da Abhilfe schaffen...

Gruss

tobi

**Tropical** · 16-08-2006, 10:25

Ich würde das eher so angehen:

PHP Code:


$name = trim($_POST['name');

$email = trim($_POST['email']);

if($name == "" || $email == "") {

  die();

}

Weiters könnte ich jetzt mit einem eigenen Formular Anfragen an dein Script senden.

z.B. so

Code:

<form action="http://www.deineseite.com/script.php" method="post">
<input type="hidden" name="name" value="Spambot-180" />
<input hidden="text" name="email" value="spammer@spambot.com" />
<input type="submit" value="Send Spam" />
</form>

Und schon versende ich mit meinem Formular Nachrichten.

**Breezzer** · 16-08-2006, 11:45

@Tropical:

Thema verfehlt

und zwar auf voller länge^^

deine if-verzewigung guckt sorgt nur dafür, dass die felder ausgefüllt sind, darum geht es aber doch garnicht

es geht darum, dass bots/spammer keine weiteren emailadressen einfügen können.

und mit deinem formular kannst du überhaupt nix tun, was du nicht auch über mein formular machen könntest

**jahlives** · 16-08-2006, 12:17

@tropical
Haste mal im Manual gelesen, was genau trim() denn überhaupt macht ?

aus dem Manual
Die Funktion entfernt Whitespaces an Anfang und Ende von str und gibt den String dann zurück. Ohne Verwendung des zweiten Parameters entfernt trim() folgende Zeichen:

Von dem her bringt dir deine Abfrage wirklich nichts. Was ggf noch funzen könnte wäre die Fkt nl2br zu verwenden und danach die Strings zu vergleichen. Wenn sie unterschiedlich sind, dann waren verbotene Zeichen drinn.
Also etwas wie

PHP Code:


if(nl2br($_POST['email']) != $_POST['email']){

    die('Unerlaubte Zeichen in Email');

}

@topicstarter
Kann es bei deinem Code sein, dass nach erfolgtem Absenden des Forms ein Refresh das Form nochmals sendet ? Wenn ja dann könnte sich Spammer ein Script basteln dass immer wieder unterschiedliche Emails an dein Script schickt. Der füllt dann in diesem Falle nicht mehrere Email Adressen ein, sondern pro Durchlauf nur eine.

Gruss

tobi

**jahlives** · 16-08-2006, 12:20

@topicstarter
Noch was kleines: Logge bei jedem Aufruf des Forms (auf jeden Fall bei jedem Ausführen der mail()-Fkt) die IP und die Zeit.
Dann haste wenigstens eine Übersicht wer wann wie oft dein Form missbraucht.
Verwendest du bei deinem Form Sessions ? Das könnte verhindern, dass ein Form mit ein und derselben Session ID mehrmals innerhalb von einer definierten Zeitspanne verschickt werden kann.

Gruss

tobi

**Breezzer** · 16-08-2006, 12:32

hm...also refreshen alleine schickt keine email mehr ab, man müsste eben das ganze formular nochmal ausfüllen.

das mit dem log ist gut, das werde ich jetzt wohl mal einbauen.

Danke dir schonmal, für deine Hilfe

**Tropical** · 16-08-2006, 13:57

Original geschrieben von Breezzer
hm...also refreshen alleine schickt keine email mehr ab, man müsste eben das ganze formular nochmal ausfüllen.

Und genau sowas, kann ich bei meinem Formular locker umgehen.
Ich mach einfach schon value="wert" und schon ist das Formular "ausgefüllt".

Ok, den Sinn vom Suchen nach Zeilenumbrüchen habe ich nicht wirklich verstanden, aber gut.

**Breezzer** · 16-08-2006, 14:16

oje tropical :P

du musst dann halt keinen wert manuell eingeben, aber alles andere bleibt gleich

Webspace verschickt Spam