🚀 go-pugleaf

flor schreef:
> flor schreef:
>> Tim Van Wassenhove schreef:
>>> flor schreef:
>>>> Erick T. Barkhuis schreef:
>>>>> flor:
>>>>>> spammers misbruiken mijn php script.
>>>>>
>>>>>> is het mogelijk om de header injection ongedaan te maken?
>>>>>
>>>>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>>>>> characters zoals \r en \n in de mailheaders terechtkomen.
>>>>>
>>>>> Met PHP iets als
>>>>> if (strstr($afzender,"\n")) {
>>>>>     header ("Location: $foutpagina");
>>>>>     exit;
>>>>> }
>>>>>
>>>>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in 
>>>>> een mailheader terechtkomt, en $foutpagina de url bevat van een 
>>>>> webdocument waarheen je de booswicht wilt doorverwijzen.
>>>>
>>>> bedankt voor de hulp.
>>>> Ik slaag er echter niet in om het voor elkaar te krijgen.
>>>>
>>>> Mijn code:
>>>>
>>>>> <?php
>>>>> $email = $_POST['email_addr'] ;
>>>>>
>>>>> if (strstr($email,"\n")) {
>>>>>     header ("Location: $spamurl");
>>>>>     exit;
>>>>> }
>>>>>
>>>>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>>>>> waarden/);
>>>>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>>>>
>>>>> header( "Location: $thankyouurl" );
>>>>> exit ;
>>>>> ?>
>>>>
>>>> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
>>>> $thankyouurl en wordt alles mooi in de database gezet
>>>> wat doe ik mis?
>>>>
>>>
>>> http://www.php.net/strstr
>>> string strstr ( string haystack, string needle )
>>>
>>> Geeft alles van haystack van het eerste voorkomen van needle tot het 
>>> einde.
>>>
>>> Als needle niet gevonden wordt, retourneert deze functie FALSE.
>>>
>>> Als needle geen string is, wordt deze geconverteerd naar een integer 
>>> en toegepast als de ordinale waarde van dat karakter.
>>>
>>> Dus in dit geval, wil je dat strstr FALSE retourneert.
>>>
>>> if (strstr($email, "\n") !== FALSE) {
>>>  header('Location: http://example.com');
>>>  exit;
>>> }
>>>
>>
>> hallo,
>>
>> bedankt voor het antwoord, maar dit schijnt hetzelfde resultaat te geven
>>
> 
> ah! blijkbaar werkt het wel als ik de ! weglaat:
>  >> if (strstr($email, "\n") == FALSE)
> 
> bedankt!

oeps, te vroeg victorie gekraaid...
nu geeft hij ook bij geldige emailadressen dat het op een spambericht 
gaat...

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges