php mail HILFE

[phowe]

hallo,

ich habe ein email formular ,
und würde gern mal wissen ob man die variablen bei der übergabe
manipulieren kann. (ich will nicht das dritte von meinem formular spam versenden).
Auszug:

$mail_info = array(
        "from_name" => $name,
        "from_address" => $address,
        "to_name" => "test",
        "to_address" => "ich@xxxx.de",
        "message" => $message,
        "subject" => "Danke"
);

function SEND_MAIL($mail_info)
{
        $from_name = $mail_info["from_name"];
        $from_address = $mail_info["from_address"];

        $to_name = $mail_info["to_name"];
        $to_address = $mail_info["to_name"]." <".$mail_info["to_address"].">";

        $message = $mail_info["message"];
        $subject = $mail_info["subject"];

        $headers .= "MIME-Version: 1.0\r\n";
        $headers .= "Content-type: text/plain; charset=iso-8859-1\r\n";
        $headers .= "From: ".$from_name." <".$from_address.">\r\n";
        $headers .= "Reply-To: ".$from_name." <".$from_address.">\r\n";
        $headers .= "X-Mailer: ich HTML-Mailer v1.0";
        mail($to_address, $subject, $message, $headers);
} 

[asp2php]

Moment ... ist das so 'ne Art Kontaktformular? Wenn ja dann schickst du doch an dich selbst, also höchstens bekommst du die Spams und niemand sonst Oder ist das was Anderes?

[penizillin]

naja... solange der user etwas eingibt, was unverarbeitet als header an den mailserver weitergegeben wird, birgt gefahren. google mal nach "email injection" oder so ähnlich...

[phowe]

was ja geändert werden müßte um spam zu versenden ist ja der empfänger der mail oder?
also:

to_address. 

die:

from_address 

wäre vom sender

kann man die "to_address" verändern?

danke für hilfe

[penizillin]

wenn du sie festlegst - wie soll sie geändert werden? aber lies meine nachricht trotzdem nochmal aufmerksam durch.

[Abraxax]

kann man die "to_address" verändern?

nur wenn eine person mit krimeller engerie an das script kommt.

und das geht durchaus. aber ich gehe mal davon aus, dass du den rest der seite absolut dich gemacht hast, sodass kein zugriff auf deine dateien erfolgen kann....

[onemorenerd]

Re: php mail HILFE

Offen wie ein Scheunentor!

$name = "foo@example.com\r\nBcc: spamopfer1@example.com, spamopfer2@...\r\nFrom: foo@bar.com" 

Mit $from_address ginge es analog. Da $message wohl auch vom User kommt, klappt das direkt ohne Boundary-Tricks.

Frag dich, ob Userdaten unbedingt in den Header müssen (dazu gehört auch Subject).
Prüfe Userdaten auf ein bestimmtes Format, verwende dabei White- statt Blacklisting (was darf sein statt was darf nicht sein).
Benenne deine Formularfelder so, daß ein Bot nicht auf die Idee käme, hier würden Mails verschickt und verwende das Wort Mail nicht auf der Formularseite oder in dorthin führenden Links.

Das sind die immer geltenden Tipps. Du kannst gern noch etwas mehr Sicherheit einbauen.
Beispiel: Logge wann und was gemailt wird. Bei zu vielen Zugriffen pro Zeiteinheit sendet das Script eine Mail an dich. Du schaust schnell ins Log und wenn du glaubst, es wäre Spam, schaltest du das Script vorrübergehend blind. Ein Spambot verschwindet dann schnell.
Außerdem eignet sich ein Logfile, um gelegentlich mal die neuesten Tricks der Spambots kennen zu lernen.