RegEx - Zeilenumbrüche erkennen

[xray]

Hi,

um ein Kontaktformular gegen Email Injection abzusichern suche ich einen RegEx welcher möglichst viel abdeckt.

Mein Entwurf sieht bisher so aus:

preg_match('/(%0A|%0D|\r\n|\n|\r)(content-type:|content-transfer-encoding:|mime-version:|subject:|to:|cc:|bcc:)/i', $input); 

Nun hat sich beim Testen aber gezeigt das die Zeilenumbrüche die mit \n, \r bzw. \r\n eingeschleust werden nicht gefunden werden.

Need help

Gruss,
xray

[penizillin]

vielleicht ist

'\n' 

nicht dasselbe wie

"\n" 

[xray]

Kann ich das so verstehen das die Eingabe von z.B. \n in einem Input Feld generell als String "\n" und nicht als Steuerzeichen '\n' behandelt wird?

[penizillin]

auch.

[...] als String "\n" und nicht als Steuerzeichen '\n' [...]

andersherum.

[3DMax]

hängt auch von vom schalter magic_quotes_gpc ab, ob auf get/post ein addslashes() ausgeführt wird.

[xray]

@penizillin
Wenn die vermeintlichen Steuerungszeichen als Strings übergeben
werden, braucht man diese doch eigentlich nicht zu überprüfen, oder?
Vorausgesetzt man stellt sicher das die Eingaben auch wirklich über
das Formular getätigt werden und nicht anderweitig an das Script
gesendet werden. Dann müsste doch eine Überprüfung der
Hexadezimalen Werte ausreichen.



@3DMax
magic_quotes_gpc hab ich per .htaccess auf off gestellt. Es wird nicht
gequotet.

[3DMax]

Re: RegEx - Zeilenumbrüche erkennen

Original geschrieben von xray
Nun hat sich beim Testen aber gezeigt das die Zeilenumbrüche die mit \n, \r bzw. \r\n eingeschleust werden nicht gefunden werden.

mal was anderes, hast du auch die anderen ausdrücke getestet? bei mir kommt kein einziger durch.
irgendwie auch logisch, bei zwei klammer-ausdrücken - muss ja zwingend aus jeder klammer einer vorhandensein, ohne zwischenzeichen, nicht mal space.

[xray]

Re: Re: RegEx - Zeilenumbrüche erkennen

Original geschrieben von 3DMax
hast du auch die anderen ausdrücke getestet?

Ja. Das Beides vorkommen soll ergab sich beim testen, da ja ein Zeilenumbruch Voraussetzung zum exploiten ist in diesem Fall... ist natürlich nichts fertiges

[3DMax]

Re: Re: Re: RegEx - Zeilenumbrüche erkennen

Original geschrieben von xray
da ja ein Zeilenumbruch Voraussetzung zum exploiten ist ...

dann reicht doch die überprüfung darauf, warum dann noch alles aufzählen, was in diesem zusammenhang verboten ist (vielleicht hast du etwas vergessen) - und dann?
das was du machst, ist ein blacklist-check.
besser, ein whitelist-check - zeichen explizit erlauben, wenn möglich, und nur diese zeichen.

aber ich kenne mich mit dem thema e-mail-injections zu wenig aus, um dir da tipps zu geben, worauf man alles achten muss.
neulich gabs einen interessanten thread dazu - suchfunktion. dort hatte ich auch einen heise-link dazu gepostet.

[EDIT]
und verlass dich nicht auf alles, was du in der .htacces einstellst.
hat es php auch übernommen? echo (int)get_magic_quotes_gpc();

[penizillin]

Original geschrieben von xray
@penizillin
Wenn die vermeintlichen Steuerungszeichen als Strings übergeben
werden, [...]

nein, das stimmt so nicht ganz - natürlich ist "das gesamte", was übertragen wird, ein string. jedoch interpretiert php in _deinem_ code die steuerzeichen nur dann als solche, wenn du sie in anführungsstriche setzst. andernfalls werden sie als eine zeichenkette, etwa "[backslash][n]" aufgefasst (und eignen sich somit nicht zum abfangen mittels regulärer ausdrücke).

aber im großen und ganzen - wozu die ganze mühe?
lass einfach nicht zu, dass sich die user-eingabe mit den headers kreuzt.