[PHP] Wordt het mailform misbruikt door spammers?

[kingmuze]

Zoals zoveel sites staat er ook op mijn site een mail form. Hierin kun je allerlei informatie invullen. Wanneer de bezoeker het formulier verstuurd wordt het als volgt verstuurd met PHP(kort samengevat):

code:

<?php
$naam = $_POST['naam'];
// SNIP more stuff...

// Create message
$sendMessage = "";
$sendMessage .= "Naam:\n".$naam . "\n";
// SNIP more stuff...

// Create headers
$from    = "[e-mail]";
$headers="";
// SNIP more headers...

//Send mail 
$to      = '[e-mail]';
$subject = 'xxx.nl Contactformulier';
$message = $sendMessage;
mail($to, $subject, $message, $headers);
?>

Nou kreeg ik onlangs de volgende contact berichten:

code:

Family name:
[e-mail]
Name:
cured
Content-Type: multipart/alternative; 
              boundary=4bdc28dd2925186e1e85e544cb68fd60
X-Mailer: Balsa 1.1.6
Subject: ational regulation of ham production ach
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]
cc: [e-mail]

This is a multi-part message in MIME format.

--4bdc28dd2925186e1e85e544cb68fd60
Content-Transfer-Encoding: 7bit
Content-Type: text/plain

produced by allowing the cured meat to hang in a

--4bdc28dd2925186e1e85e544cb68fd60
Content-Transfer-Encoding: 8bit
Content-Type: text/plain

produced by allowing the cured meat to hang in a

--4bdc28dd2925186e1e85e544cb68fd60--
.

Address:
[e-mail]
Zipcode:
[e-mail]
City:
[e-mail]
Telephone number:
[e-mail]
E-mail address:
[e-mail]
Message: 
[e-mail]

Met de volgende headers

code:

Return-Path: <[e-mail]>
Received: from mx2.tilbu1.nb.home.nl ([213.51.146.140])
          by mta1.tilbu1.nb.home.nl
          (InterMail vM.6.01.04.03 201-2131-118-103-20050206) with ESMTP
          id <[e-mail]>
          for <[e-mail]>; Sat, 23 Sep 2006 08:44:20 +0200
Received: from xeon-1.amsrbe.sensson.net ([83.98.148.180]:46505 helo=consulo.sensson.net)
    by mx2.tilbu1.nb.home.nl with esmtp (Exim 4.30)
    id 1GR1FK-0005DJ-Ty
    for [e-mail]; Sat, 23 Sep 2006 08:44:18 +0200
Received: from apache by consulo.sensson.net with local (Exim 4.63)
    (envelope-from <[e-mail]>)
    id 1GR18b-0004jo-1a
    for [e-mail]; Sat, 23 Sep 2006 08:37:21 +0200
To: [e-mail]
Subject: contact form
X-Sender:  [e-mail] <[e-mail]>
From: [e-mail] <[e-mail]>
Reply-To: [e-mail] <[e-mail]>
Date: Sat, 23 Sep 2006 08:37:21 +0200
Message-ID: <[e-mail]>
Delivered-to: [e-mail] <[e-mail]>
MIME-Version: 1.0
X-Priority: 1
Importance: High
X-MSMail-Priority: High
X-Mailer: SelmanD Mailler With PHP!
X-AtHome-MailScanner-Information: Neem contact op met [e-mail] voor meer informatie
X-AtHome-MailScanner: Found to be clean

Nou is natuurlijk de vraag, worden het echt misbruikt of is het een poging tot ? Ben ook benieuwd of andere mensen dit al eens hebben meegemaakt

[Eijkb]

Dat is misbruik ja. Je ziet dat via header injection een aantal CC adressen toegevoegd worden die deze mail ook ontvangen hebben.

Ik weet niet wie of wat $sendMessage vult, maar dat zal een tekstbox zijn in het formulier? Dat moet je dus controleren op de input. En werk netjes (alsof register_globals disabled staat) met $_POST[$sendMessage], dat maakt het voor jezelf ook duidelijker.

Ik werk bij een hostingbedrijf en dit zien we héél vaak. Als we het zien zijn er meestal al 1000den mails verstuurd en brengen we het script offline of, indien het de spuigaten uit loopt en niet makkelijk te voorkomen is, de hele site.

Snelle oplossing: het script hernoemen naar iets zonder "mail" in de naam. Veel spammers zoeken binnen google gewoon op "mail" +php oid en vinden zo dit soort scripts die ze vervolgens bestoken met een hoop requests in de hoop dat er eentje lukt. Als het bv. sturen.php had geheten hadden ze het niet gevonden. Maar goed, dat kan je dus doen NAAST het aanpassen van je scripts.

[ Voor 94% gewijzigd door Eijkb op 23-09-2006 11:14 ]

[kingmuze]

Eijkb schreef op zaterdag 23 september 2006 @ 11:10:
Dat is misbruik ja. Je ziet dat via header injection een aantal CC adressen toegevoegd worden die deze mail ook ontvangen hebben.

Ik weet niet wie of wat $sendMessage vult, maar dat zal een tekstbox zijn in het formulier? Dat moet je dus controleren op de input. En werk netjes (alsof register_globals disabled staat) met $_POST[$sendMessage], dat maakt het voor jezelf ook duidelijker.

Ik werk bij een hostingbedrijf en dit zien we héél vaak. Als we het zien zijn er meestal al 1000den mails verstuurd en brengen we het script offline of, indien het de spuigaten uit loopt en niet makkelijk te voorkomen is, de hele site.

Snelle oplossing: het script hernoemen naar iets zonder "mail" in de naam. Veel spammers zoeken binnen google gewoon op "mail" +php oid en vinden zo dit soort scripts die ze vervolgens bestoken met een hoop requests in de hoop dat er eentje lukt. Als het bv. sturen.php had geheten hadden ze het niet gevonden. Maar goed, dat kan je dus doen NAAST het aanpassen van je scripts.

Thanks voor de handige tip. Maar kun je uberhaupt mailheaders injecteren in het message field van de php mail functie:
mail($to, $subject, $message, $headers);

Het kan me voorstellen dat wanneer $headers wordt opgebouwd uit data dat uit het formulier komt, dat injection dan mogelijk is.

[Priet]

Voorbeeld van oplossing/filter:

PHP:

function checkPOST() { return !(eregi("(MIME-|CONTENT-|CC:|BCC:|TO:)", str_replace(" ", "", print_r($_REQUEST, true)))); }
function checkEmail($email) { return (eregi("^[_\.0-9a-z-]+\@([0-9a-z-]+\.)+[a-z]{2,4}$", $email)); }
function checkName($name) { return (eregi("^[a-z0-9_ \.]+$", $name)); }

Drie verschillende functies, voor het checken van de POST in het algemeen (geen injectie) en afzonder de naam en e-mailadres.

[Eijkb]

Injectie in de message is gewoon mogelijk. Je moet weten dat een compleet mailtje een tekst bestand is. De syntax bepaalt wat waar staat. Dus als een spammert headers injecteerd in bv. $naam dan is die syntax correct en zullen je eigen headers niet meer meetellen omdat die buiten je mail staan als je begrijpt wat ik bedoel.

PHP is soms te makkelijk Zorg er voor dat je ten alle tijden ALLE userinput controleerd op vanalles en nog wat. Is soms wat lastig en lijkt overbodig maar goed: beter te veilig dan een gatenkaas.

[Priet]

Eigenlijk is de oorzaak het té simpele mail-protocol. En of je het nou stuurt met PHP/ASP/Java/Perl/etc, je zult het altijd op zo'n manier kunnen misbruiken

[Pyrus]

De oplossing die ik heb bedacht is een nep mailform maken eigenlijk. Je schotelt de gebruiker een formulier voor dat als mailform uitziet, maar in feite zet je het gewoon in een database en stuur je zelf via een echt mailform een reply. Eventueel kun je na verzenden van de gebruiker een standaard mailtje naar jezelf sturen met een link naar dat formulier
Natuurlijk dan nog steeds input checken, maar dan nu op SQL-injecties (wat gewoon te voorkomen is met mysql_real_escape_string() om alle strings te pleuren dacht ik)

[pietje63]

Priet schreef op zaterdag 23 september 2006 @ 11:44:
Eigenlijk is de oorzaak het té simpele mail-protocol. En of je het nou stuurt met PHP/ASP/Java/Perl/etc, je zult het altijd op zo'n manier kunnen misbruiken

Input control...
Als je het e-mail adres op ":" checkt en een vergelijkbaar iets met het subject veld doet ben je al een heel eind.

[Verwijderd]

pietje63 schreef op zaterdag 23 september 2006 @ 12:00:
[...]

Input control...
Als je het e-mail adres op ":" checkt en een vergelijkbaar iets met het subject veld doet ben je al een heel eind.

Dan ben je er nog niet. Je hebt dan nog steeds de kans op MIME-injections.

Gebruik gewoon een standaard class "Full featured email transfer class for PHP", dan is alles al voor je geregeld. En je krijgt er meer flexibiliteit voor terug.

[pim]

* kick *

in alle input : vervangen door ; lost het op.

[Verwijderd]

In princiepe is iets als:
$naam = $_POST['naam'];

Ten strengste verboden. User input is nooit te vertrouwen, en hiermee geef je eigelijk aan dat $naam niet meer schadelijk kan zijn. Oplossingen zijn vaak simpel. Als je bv alle enters eruit haalt en ervoor zorgt dat de naam niet langer mag zijn dan 80 tekens, is het vrijwel onmogelijk om nog truken uit te halen. Als je nog veiliger wilt kan je ook nog regular expressions die hierboven staan gemeld gebruiken.

Voorbeeld enters weghalen en max tekens van 80:
$naam = substr(str_replace(array("\n","\r")," ",$_POST['naam']),0,80);

[Verwijderd]

Hier vind je een interessant artikel over injection van e-mail headers:

http://www.securephpwiki.com/index.php/Email_Injection

[T-MOB]

In het geval van de TS is er alleen maar sprake van een poging tot injecteren. Met zijn code kan dat ook niet anders aangezien er niets wat door de user wordt ingevuld in de headers terechtkomt. Het spambericht incluis "headers" staat dan ook gewoon in de body van het bericht (de eerste tekst in de TS), de echte mailheaders zijn gewoon schoon.
Verder denk ik dat een blik in een RFC met betrekking tot mail een stuk meer op kan lossen dan willekeurig regexen en andere checks op je input los te laten. Checken is goed, maar nog belangrijker is dat je weet waar je mee bezig bent...