🚀 go-pugleaf

flor schreef:
> Erick T. Barkhuis schreef:
>> flor:
>>> spammers misbruiken mijn php script.
>>
>>> is het mogelijk om de header injection ongedaan te maken?
>>
>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>> characters zoals \r en \n in de mailheaders terechtkomen.
>>
>> Met PHP iets als
>> if (strstr($afzender,"\n")) {
>>     header ("Location: $foutpagina");
>>     exit;
>> }
>>
>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
>> mailheader terechtkomt, en $foutpagina de url bevat van een 
>> webdocument waarheen je de booswicht wilt doorverwijzen.
> 
> bedankt voor de hulp.
> Ik slaag er echter niet in om het voor elkaar te krijgen.
> 
> Mijn code:
> 
>> <?php
>> $email = $_POST['email_addr'] ;
>>
>> if (strstr($email,"\n")) {
>>     header ("Location: $spamurl");
>>     exit;
>> }
>>
>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>> waarden/);
>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>
>> header( "Location: $thankyouurl" );
>> exit ;
>> ?>
> 
> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
> $thankyouurl en wordt alles mooi in de database gezet
> wat doe ik mis?
> 

http://www.php.net/strstr
string strstr ( string haystack, string needle )

Geeft alles van haystack van het eerste voorkomen van needle tot het einde.

Als needle niet gevonden wordt, retourneert deze functie FALSE.

Als needle geen string is, wordt deze geconverteerd naar een integer en 
toegepast als de ordinale waarde van dat karakter.

Dus in dit geval, wil je dat strstr FALSE retourneert.

if (strstr($email, "\n") !== FALSE) {
  header('Location: http://example.com');
  exit;
}

-- 
Tim Van Wassenhove <url:http://www.timvw.be/>