Schutz vor Spamversand - geht,s auch einfacher?

**AmicaNoctis** · 04.05.2010, 00:46

Hallo,

klingt schon mal nicht schlecht. Alle Angaben, die im Header der Mail auftauchen sollen, solltest du zusätzlich zu deinem Header-Test auch auf Zeilenumbrüche untersuchen. Wenn du die Rechenaufgaben mit Zahlwörtern statt Ziffern stellst, bekommst du noch eine zusätzliche Sicherheit rein.

Gruß,

Amica

**cosinus** · 04.05.2010, 01:08

Hallo,

im eMail-Header wird nur der "Betreff" der eMail verwendet, die eMail aus dem
Formular erschein im eMail-Text.

Die als Schutz verwendete Rechenaufgabe wird per Zufallsgenerator aus 50
möglichen Aufgaben ausgewählt, die allesamt sehr Simpel sind.

Zusätzlich werden auch noch deutsche Worte verwendet - also statt 10 x 10
wird "10 mal 10" angezeigt, aus 20 / 2 wird "20 geteilt durch 2" u.s.w.

HTML-Tags werden vorsichtshalber auch noch mit strip_tags() entfernt.

Was genau bewirken Zeilenumbrüche im Header und wie filtere ich die aus?

Grüsse
Cosinus

**AmicaNoctis** · 04.05.2010, 01:16

Zitat von cosinus Beitrag anzeigen

Zusätzlich werden auch noch deutsche Worte verwendet - also statt 10 x 10
wird "10 mal 10" angezeigt, aus 20 / 2 wird "20 geteilt durch 2" u.s.w.

Besser wäre "zehn mal zehn" und "zwanzig geteilt durch zwanzig".

Zitat von cosinus Beitrag anzeigen

Was genau bewirken Zeilenumbrüche im Header und wie filtere ich die aus?

Damit kann man E-Mail-Injection betreiben. Beispiel:

Der Betreff "Testmail"

wird zu

Code:

From: user@example.com
To: info@example.org
Subject: Testmail
MIME-Version: 1.0
...

Aber was ist mit diesem Betreff (URL-encoded)?:

Code:

Mahnung%0d%0aTo:%20spamrecipient@example.com%0d%0a
From:%20Anwalt%20%3cspoofedsender@example.com%3e%0d%0a

(Der Umbruch vor "From:" ist nur für's Forum)

Der wird zu

Code:

From: user@example.com
To: info@example.org
Subject: Mahnung
To: spamrecipient@example.com
From: Anwalt <spoofedsender@example.com>
MIME-Version: 1.0
...

**onemorenerd** · 04.05.2010, 01:21

Ein Kontaktformular ist eine sensible Stelle. Willst du deine Benutzer wirklich mit solchen Aufgaben nerven? Flooding-Schutz, Badword Filter und der Spamfilter des Zielpostfachs sollten doch ausreichen, um dich vor dem gröbsten Müll zu schützen.

**cosinus** · 04.05.2010, 01:23

Zitat von AmicaNoctis Beitrag anzeigen

Aber was ist mit diesem Betreff (URL-encoded)?:

Code:

Mahnung%0d%0aTo:%20spamrecipient@example.com%0d%0a
From:%20Anwalt%20%3cspoofedsender@example.com%3e%0d%0a

Der wird zu

Code:

From: user@example.com
To: info@example.org
Subject: Mahnung
To: spamrecipient@example.com
From: Anwalt <spoofedsender@example.com>
MIME-Version: 1.0
...

Müssten dazu nicht Zeichen wie %:@ im Betreff erlaubt sein?

Und wie filtere ich nun diese Umbrüche aus?
Die Zeichenfolgen %0d %0a etc. aus dem Text rauslöschen?
Hilf mir mal auf die Sprünge ;-)

Grüsse
Cosinus

**AmicaNoctis** · 04.05.2010, 01:26

Zitat von cosinus Beitrag anzeigen

Müssten dazu nicht Zeichen wie %:@ im Betreff erlaubt sein

Nein, weil PHP die selbst URL-decodiert und die dann als die Zeichen ankommen die es sind: Leerzeichen, Umbrüche, ...

Zitat von cosinus Beitrag anzeigen

Und wie filtere ich nun diese Umbrüche aus?

Nicht zulassen, also z. B. mit preg_replace alles ab einem Umbruch abschneiden.

**cosinus** · 04.05.2010, 01:30

Zitat von onemorenerd Beitrag anzeigen

Ein Kontaktformular ist eine sensible Stelle. Willst du deine Benutzer wirklich mit solchen Aufgaben nerven? Flooding-Schutz, Badword Filter und der Spamfilter des Zielpostfachs sollten doch ausreichen, um dich vor dem gröbsten Müll zu schützen.

Schon klar...
Mir ist das ziemlich egal was bei mir eintrifft.
Meine eMail-Adresse ist schon ca. 15 Jahre alt und ich erhalte täglich einige hundert Spams.

Ich möchte nur verhindern, dass über mein Formular tausende Spams versendet werden.

Grüsse
Cosinus

**cosinus** · 04.05.2010, 01:52

Zitat von AmicaNoctis Beitrag anzeigen

Nein, weil PHP die selbst URL-decodiert und die dann als die Zeichen ankommen die es sind: Leerzeichen, Umbrüche, ...

Nicht zulassen, also z. B. mit preg_replace alles ab einem Umbruch abschneiden.

Hallo,

Also die Umrüche werde ich - glaube ich - so los,
aber wie schneide ich alles nach dem ersten Umbruch ab??

PHP-Code:


$betreff = preg_replace("/(\n|\r|\r\n)/", "", $betreff);

Grüsse
Cosinus

**AmicaNoctis** · 04.05.2010, 01:55

PHP-Code:


preg_replace("<[\\r\\n].*$>s", "", $betreff)

**cosinus** · 04.05.2010, 02:12

Zitat von AmicaNoctis Beitrag anzeigen

PHP-Code:


preg_replace("<[\\r\\n].*$>s", "", $betreff)

Aaaaha

Das Schneidet alles nach dem ersten Umbruch ab?
Kann ich das auch für die eMail-Adresse einsetzen, falls ich
diese in den Header übernehmen will?

Gibt es auch noch irgendwelche fiesen Tricks auf die ich
im eMail-Text achten muss?

Grüsse
Cosinus

**AmicaNoctis** · 04.05.2010, 02:16

Zitat von cosinus Beitrag anzeigen

Das Schneidet alles nach dem ersten Umbruch ab?

Nicht nach, sondern ab (also inklusive).

Zitat von cosinus Beitrag anzeigen

Kann ich das auch für die eMail-Adresse einsetzen, falls ich
diese in den Header übernehmen will?

Ja, warum nicht?

Zitat von cosinus Beitrag anzeigen

Gibt es auch noch irgendwelche fiesen Tricks auf die ich
im eMail-Text achten muss?

Solange du nicht mit Anhängen oder Alternativformaten (also multipart-Mails aller Art) arbeitest, ist der Message-Body nicht infiltrierbar. Bei multipart-Mails theoretisch ja, aber das kannst du verhindern, indem du vernünftige Boundaries generierst und nicht solche Sinnlosboundaries wie

Code:

====NextPart====

weil die leicht zu erraten sind und damit Anhänge (z. B. Viren) eingeschleust werden könnten.

**onemorenerd** · 04.05.2010, 02:32

Zitat von cosinus Beitrag anzeigen

Schon klar...

Nee offenbar ist es nicht klar. Aber es sind ja deine User …

**cosinus** · 04.05.2010, 02:49

Zitat von onemorenerd Beitrag anzeigen

Ein Kontaktformular ist eine sensible Stelle. Willst du deine Benutzer wirklich mit solchen Aufgaben nerven? Flooding-Schutz, Badword Filter und der Spamfilter des Zielpostfachs sollten doch ausreichen, um dich vor dem gröbsten Müll zu schützen.

Ähmm...

Janu...

also...

Nich böse sein - aber...

ich verstehe nur nicht so ganz, was Dein Hinweis mit meinen Fragen nach einem Spamsicheren Formular zu tun hat...?
Ich will verhindern, dass irgendjemand Spams von meinem Formular versendet - klar soweit?

Wenn sich erst der Spamfilter des Zielpostfachs damit rumärgern muss, ist das Kind schon in den Brunnen gefallen...

...und ich hab ne Menge Ärger

Grüsse Cosinus

**onemorenerd** · 04.05.2010, 13:12

Zitat von cosinus Beitrag anzeigen

ich verstehe nur nicht so ganz, was Dein Hinweis mit meinen Fragen nach einem Spamsicheren Formular zu tun hat...?

Du willst den Benutzer des Formulars mit einer Rechenaufgabe nerven, damit du keinen Stress hast. Das ist nicht sehr "kundenfreundlich".

Wenn sich erst der Spamfilter des Zielpostfachs damit rumärgern muss, ist das Kind schon in den Brunnen gefallen...

Nein, das Kind liegt im Brunnen, wenn du den Spam lesen musst. Denn dann kostet er dich Zeit. Der Spamfilter bei deinem Mailprovider arbeitet ohne dein Zutun. Der kostet dich also gar nichts. Deshalb ist es absolut okay, wenn jemand Potenzmittelwerbung mit deinem Kontaktformular abschickt. Der Spamfilter deines Mailproviders entsorgt den Mist.

Nochmal in aller Deutlichkeit:

Du sollst dein Formular vor Mail Injection (CC, BCC, etc.) schützen. Somit kann kein Spam irgendwo hingeschickt werden, sondern nur noch an deine Kontaktadresse.

Du kannst einen Flooding Schutz (max. x Submits pro IP und Zeitspanne) und/oder Badwordfilter implementieren.
Dadurch sinkt die Last auf dem Server und der Spamfilter deines Mailproviders hat auch weniger zu tun.

Du solltest nicht den User mit irgendwelchen Rechenaufgaben nerven!

Schutz vor Spamversand - geht,s auch einfacher?