[denis_hanke]

Hallo
mein Mailformular wird seit einigen tagen durch spammer missbraucht.
Jetzt steh ich echt vor einem Rätsel. Ich hab 0-Plan, wie das gehen soll.
Register_globals is auf off.

Es wird der Betreff+ der Text geändert. - Hat einer ne Idee. Bzw. hat nen Plan wie man die Lücke schließt?

Gibt es nich eine Servervariabel die den Absender identifiziert? Dann könnte ich ja nur eine Absender url zulassen...
Hier mein Script

PHP-Code:

<?php

$strEmpfaenger = '...@web.de';

$headers  = "MIME-Version: 1.0\r\n";
$headers .= "Content-type: text/html; charset=iso-8859-1\r\n";
if (empty($_POST[email]))
    {$headers .= 'From: keine Angabe <keine@angabe.de> ';}
    else
    {$headers .= 'From: '.$_POST[email].'<'.$_POST[email].'> ';}

$strSubject    = '<de> Dolmetscherbewerbung';

$strReturnhtmltrue = 'http://www.worldlingua-potsdam.de/en/ok_bewe.html';
$strReturnhtmlfalse = 'http://www.worldlingua-potsdam.de/en/fa_bewe.html';

$strDelimiter  = ":\t";

if($_POST)
{
     while(list($strName,$value) = each($_POST))
         {
          if(is_array($value))
              {
               foreach($value as $value_array)
                   {
                    $strMailtext= $strMailtext.$strName.$strDelimiter.' '.$value_array.'
';
                   }
              }
              else
              {
                $strMailtext = $strMailtext.$strName.$strDelimiter.' '.$value.'
';
              }
         }     if(get_magic_quotes_gpc())
         {
          $strMailtext = stripslashes($strMailtext);
         }
    # echo('<br>Empf: '.$strEmpfaenger.' Sub '.$strSubject.' Text '.$strMailtext.' From: '.$headers.'<br>');

     if (mail($strEmpfaenger, $strSubject, $strMailtext, $headers))
         {
             header("Location: $strReturnhtmltrue");
        }
        else
        {
            header("Location: $strReturnhtmlfalse");
        }
}
?>

[Xean]

Zwar weiß ich nicht, wie die User das Formular benutzen, aber sowas wie:

PHP-Code:

$headers .= 'From: '.$_POST[email].'<'.$_POST[email].'> ';
while(list($strName,$value) = each($_POST)){ [...] } 


sind halt sehr unsicher.
Du überprüfst überhaupt nicht, was die Benutzer da rein schreiben. Und dann ist es sehr schnell für spam nutzbar.

Hast du so ne art chaptcha? Muss ja nicht nur das Bild sein, wo irgendwelche Buchstaben drauf stehen. Kannst ja auch mit so fragen machen, wie
was ist 1+1 oder
schreiben sie Rot in das Eingabefelt.
Must halt nachschauen, ob das stimmt, und dann erst die mail schreiben lassen.

[Chr!s]

Ich denke eher, dass deinem Script E-Mail Header injeziert werden.
Hierzu: http://www.securephpwiki.com/index.php/Email_Injection

Sehr gute Beschreibung dazu.

[FloB]

Das hier könnte dir zusätzlich helfen: http://www.bot-trap.de/forum/index.php?topic=3153.0

Aber auf jeden Fall erst die Injection-Lücke schließen!

[Ben]

Das hier ist auch 'ne nette Möglichkeit ganz simpel Spam zu verhindern

http://www.jagr.de/blog.php?comment=177

Muss man halt nur aufpassen, dass man die Bildchens verwenden darf.

[Jann Hendrik]

dir könnte ggf. auch folgendes Tutorial helfen: http://www.drweb.de/webmaster/kontakt-formulare.shtml

[xabbuh]

Hallo,

Zitat von Ben

Das hier ist auch 'ne nette Möglichkeit ganz simpel Spam zu verhindern

http://www.jagr.de/blog.php?comment=177

das hindert den Spammer natürlich nicht daran, seine eigene (Porno-)Seite quasi als Proxy vor das Captcha zu klemmen. Solange die Header-Injection-Schwachstelle nicht beseitigt ist, wird auch der Spam nicht aufhören.

Gruß
Christian

[Bitsoft]

Hallo zusammen

Bei diesem Formular sende ich sogar noch von meinem PC aus ein paar Email zu.
Da reicht ja schon mein Xampp!

Hier fehlen einige Dinge
Die Kontrolle ist praktisch keine

Dies muss drin sein
Email Var oder nicht
HTTP_USER_AGENT
REQUEST_METHOD
ID
/n, /r entfernen
usw.

Hier mal ein paar weissheiten: http://www.hilfdirselbst.ch/gforum/g...=unread#unread

[denis_hanke]

besten Dank
seit 3 Tagen hab ich keinen Spam mehr

[Ben]

Sollten es heute acht geworden sein, so hast du anscheinend alles richtig gemacht.

[WarrenFaith]

Wäre schön wenn du deinen Code mal zeigen könntest. Aber nur wenn du willst