🚀 go-pugleaf

flor:
> spammers misbruiken mijn php script.

> is het mogelijk om de header injection ongedaan te maken?

Weiger gewoon alle invoer die tot gevolg heeft dat er control characters 
zoals \r en \n in de mailheaders terechtkomen.

Met PHP iets als 

if (strstr($afzender,"\n")) {
	header ("Location: $foutpagina");
	exit;
}

....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
mailheader terechtkomt, en $foutpagina de url bevat van een webdocument 
waarheen je de booswicht wilt doorverwijzen.
 

-- 
Van B&B via Bikes en Sculptures tot Webdesign: 
http://ardane.com

flor wrote:
> spammers misbruiken mijn php script.
> de oplossing op http://www.alt-php-faq.org/local/115/ is moeilijk te
> integreren in mijn script, omdat gebruikers kunnen uitschrijven via
> een link in het emailadres. dit werkt niet meer bij bovenstaande
> oplossing.
> is het mogelijk om de header injection ongedaan te maken?
> er wordt in bcc een boel rommel bijgevoegd. ik wil nu graag na
> uitvoering van het script, maar voor het effectief verzenden de CC en
> de BCC velden leeg maken
> kan dit?
> hoe?

Hoi Flor,

Zoals Erick al zei, is het het meest effectief om control characters (en dan 
met name de newline versies) uit de te gebruiken tekstvelden of -parameters 
te halen voordat je de tekst aan de e-mail verzend functie doorgeeft.  Dit 
geld echter alleen voor de tekstfragmenten die niet in de mail body terecht 
komen, maar in de mail header worden opgenomen.

De pagina waar je aan refereerde zorgt ervoor dat alle e-mails die een 
'verboden' woord bevat niet verzonden kunnen worden.  Erg effectief, maar 
het heeft ook het nadeel dat als iemand je een berichtje wilt sturen dat een 
van deze woorden bevat (zelfs in de body van de mail!), deze mail ook niet 
aankomt.

Het enige dat je hoeft te doen is dus newlines (karaktercodes 10 en 13) uit 
de tekstvelden die in de email headers worden gebruikt te halen; je zal dan 
nog wel de testmailtjes binnenkrijgen van de spammers, maar die kunnen niet 
meer de wijde wereld in verdwijnen.  Een alternatief is testen op newline 
karakters in de teksten die in de headers worden gebruikt, en dan pas "die" 
gebruiken om verdere afhandeling van de mail te stoppen.

Ik heb al eens een uitgebreide uitleg hierover op mijn website opgenomen; je 
kunt er meer over lezen op 
http://www.twologs.com/en/services/test/spamrelay.asp (is wel in het 
Engels).  Deze pagina legt de hele gebruikte techniek stap voor stap uit 
zodat je, geholpen met een beetje programmeerkennis, genoeg inzicht krijgt 
om je eigen script aan te passen.

-- 
Met vriendelijke groet,
Carl Colijn

TwoLogs - IT Dienstverlening en Productontwikkeling
A natural choice!
http://www.twologs.com
TimeTraces: het krachtige en veelzijdige tijdsregistratiesysteem!
http://www.twologs.com/nl/products/timetraces.asp 

Erick T. Barkhuis schreef:
> flor:
>> spammers misbruiken mijn php script.
> 
>> is het mogelijk om de header injection ongedaan te maken?
> 
> Weiger gewoon alle invoer die tot gevolg heeft dat er control characters 
> zoals \r en \n in de mailheaders terechtkomen.
> 
> Met PHP iets als 
> 
> if (strstr($afzender,"\n")) {
> 	header ("Location: $foutpagina");
> 	exit;
> }
> 
> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
> mailheader terechtkomt, en $foutpagina de url bevat van een webdocument 
> waarheen je de booswicht wilt doorverwijzen.

bedankt voor de hulp.
Ik slaag er echter niet in om het voor elkaar te krijgen.

Mijn code:

> <?php
> $email = $_POST['email_addr'] ;
> 
> if (strstr($email,"\n")) {
> 	header ("Location: $spamurl");
> 	exit;
> }
> 
> $add_subscriber = "insert into subscribers values (/de ingevulde waarden/);
> mysql_query($add_subscriber,$conn) or die(mysql_error());
> 
> header( "Location: $thankyouurl" );
> exit ;
> ?>

als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
$thankyouurl en wordt alles mooi in de database gezet
wat doe ik mis?

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor schreef:
> Erick T. Barkhuis schreef:
>> flor:
>>> spammers misbruiken mijn php script.
>>
>>> is het mogelijk om de header injection ongedaan te maken?
>>
>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>> characters zoals \r en \n in de mailheaders terechtkomen.
>>
>> Met PHP iets als
>> if (strstr($afzender,"\n")) {
>>     header ("Location: $foutpagina");
>>     exit;
>> }
>>
>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
>> mailheader terechtkomt, en $foutpagina de url bevat van een 
>> webdocument waarheen je de booswicht wilt doorverwijzen.
> 
> bedankt voor de hulp.
> Ik slaag er echter niet in om het voor elkaar te krijgen.
> 
> Mijn code:
> 
>> <?php
>> $email = $_POST['email_addr'] ;
>>
>> if (strstr($email,"\n")) {
>>     header ("Location: $spamurl");
>>     exit;
>> }
>>
>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>> waarden/);
>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>
>> header( "Location: $thankyouurl" );
>> exit ;
>> ?>
> 
> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
> $thankyouurl en wordt alles mooi in de database gezet
> wat doe ik mis?
> 

http://www.php.net/strstr
string strstr ( string haystack, string needle )

Geeft alles van haystack van het eerste voorkomen van needle tot het einde.

Als needle niet gevonden wordt, retourneert deze functie FALSE.

Als needle geen string is, wordt deze geconverteerd naar een integer en 
toegepast als de ordinale waarde van dat karakter.

Dus in dit geval, wil je dat strstr FALSE retourneert.

if (strstr($email, "\n") !== FALSE) {
  header('Location: http://example.com');
  exit;
}

-- 
Tim Van Wassenhove <url:http://www.timvw.be/>

Tim Van Wassenhove schreef:
> flor schreef:
>> Erick T. Barkhuis schreef:
>>> flor:
>>>> spammers misbruiken mijn php script.
>>>
>>>> is het mogelijk om de header injection ongedaan te maken?
>>>
>>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>>> characters zoals \r en \n in de mailheaders terechtkomen.
>>>
>>> Met PHP iets als
>>> if (strstr($afzender,"\n")) {
>>>     header ("Location: $foutpagina");
>>>     exit;
>>> }
>>>
>>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
>>> mailheader terechtkomt, en $foutpagina de url bevat van een 
>>> webdocument waarheen je de booswicht wilt doorverwijzen.
>>
>> bedankt voor de hulp.
>> Ik slaag er echter niet in om het voor elkaar te krijgen.
>>
>> Mijn code:
>>
>>> <?php
>>> $email = $_POST['email_addr'] ;
>>>
>>> if (strstr($email,"\n")) {
>>>     header ("Location: $spamurl");
>>>     exit;
>>> }
>>>
>>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>>> waarden/);
>>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>>
>>> header( "Location: $thankyouurl" );
>>> exit ;
>>> ?>
>>
>> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
>> $thankyouurl en wordt alles mooi in de database gezet
>> wat doe ik mis?
>>
> 
> http://www.php.net/strstr
> string strstr ( string haystack, string needle )
> 
> Geeft alles van haystack van het eerste voorkomen van needle tot het einde.
> 
> Als needle niet gevonden wordt, retourneert deze functie FALSE.
> 
> Als needle geen string is, wordt deze geconverteerd naar een integer en 
> toegepast als de ordinale waarde van dat karakter.
> 
> Dus in dit geval, wil je dat strstr FALSE retourneert.
> 
> if (strstr($email, "\n") !== FALSE) {
>  header('Location: http://example.com');
>  exit;
> }
> 

hallo,

bedankt voor het antwoord, maar dit schijnt hetzelfde resultaat te geven

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor schreef:
> Tim Van Wassenhove schreef:
>> flor schreef:
>>> Erick T. Barkhuis schreef:
>>>> flor:
>>>>> spammers misbruiken mijn php script.
>>>>
>>>>> is het mogelijk om de header injection ongedaan te maken?
>>>>
>>>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>>>> characters zoals \r en \n in de mailheaders terechtkomen.
>>>>
>>>> Met PHP iets als
>>>> if (strstr($afzender,"\n")) {
>>>>     header ("Location: $foutpagina");
>>>>     exit;
>>>> }
>>>>
>>>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
>>>> mailheader terechtkomt, en $foutpagina de url bevat van een 
>>>> webdocument waarheen je de booswicht wilt doorverwijzen.
>>>
>>> bedankt voor de hulp.
>>> Ik slaag er echter niet in om het voor elkaar te krijgen.
>>>
>>> Mijn code:
>>>
>>>> <?php
>>>> $email = $_POST['email_addr'] ;
>>>>
>>>> if (strstr($email,"\n")) {
>>>>     header ("Location: $spamurl");
>>>>     exit;
>>>> }
>>>>
>>>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>>>> waarden/);
>>>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>>>
>>>> header( "Location: $thankyouurl" );
>>>> exit ;
>>>> ?>
>>>
>>> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
>>> $thankyouurl en wordt alles mooi in de database gezet
>>> wat doe ik mis?
>>>
>>
>> http://www.php.net/strstr
>> string strstr ( string haystack, string needle )
>>
>> Geeft alles van haystack van het eerste voorkomen van needle tot het 
>> einde.
>>
>> Als needle niet gevonden wordt, retourneert deze functie FALSE.
>>
>> Als needle geen string is, wordt deze geconverteerd naar een integer 
>> en toegepast als de ordinale waarde van dat karakter.
>>
>> Dus in dit geval, wil je dat strstr FALSE retourneert.
>>
>> if (strstr($email, "\n") !== FALSE) {
>>  header('Location: http://example.com');
>>  exit;
>> }
>>
> 
> hallo,
> 
> bedankt voor het antwoord, maar dit schijnt hetzelfde resultaat te geven
> 

ah! blijkbaar werkt het wel als ik de ! weglaat:
 >> if (strstr($email, "\n") == FALSE)

bedankt!

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor schreef:
> flor schreef:
>> Tim Van Wassenhove schreef:
>>> flor schreef:
>>>> Erick T. Barkhuis schreef:
>>>>> flor:
>>>>>> spammers misbruiken mijn php script.
>>>>>
>>>>>> is het mogelijk om de header injection ongedaan te maken?
>>>>>
>>>>> Weiger gewoon alle invoer die tot gevolg heeft dat er control 
>>>>> characters zoals \r en \n in de mailheaders terechtkomen.
>>>>>
>>>>> Met PHP iets als
>>>>> if (strstr($afzender,"\n")) {
>>>>>     header ("Location: $foutpagina");
>>>>>     exit;
>>>>> }
>>>>>
>>>>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in 
>>>>> een mailheader terechtkomt, en $foutpagina de url bevat van een 
>>>>> webdocument waarheen je de booswicht wilt doorverwijzen.
>>>>
>>>> bedankt voor de hulp.
>>>> Ik slaag er echter niet in om het voor elkaar te krijgen.
>>>>
>>>> Mijn code:
>>>>
>>>>> <?php
>>>>> $email = $_POST['email_addr'] ;
>>>>>
>>>>> if (strstr($email,"\n")) {
>>>>>     header ("Location: $spamurl");
>>>>>     exit;
>>>>> }
>>>>>
>>>>> $add_subscriber = "insert into subscribers values (/de ingevulde 
>>>>> waarden/);
>>>>> mysql_query($add_subscriber,$conn) or die(mysql_error());
>>>>>
>>>>> header( "Location: $thankyouurl" );
>>>>> exit ;
>>>>> ?>
>>>>
>>>> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
>>>> $thankyouurl en wordt alles mooi in de database gezet
>>>> wat doe ik mis?
>>>>
>>>
>>> http://www.php.net/strstr
>>> string strstr ( string haystack, string needle )
>>>
>>> Geeft alles van haystack van het eerste voorkomen van needle tot het 
>>> einde.
>>>
>>> Als needle niet gevonden wordt, retourneert deze functie FALSE.
>>>
>>> Als needle geen string is, wordt deze geconverteerd naar een integer 
>>> en toegepast als de ordinale waarde van dat karakter.
>>>
>>> Dus in dit geval, wil je dat strstr FALSE retourneert.
>>>
>>> if (strstr($email, "\n") !== FALSE) {
>>>  header('Location: http://example.com');
>>>  exit;
>>> }
>>>
>>
>> hallo,
>>
>> bedankt voor het antwoord, maar dit schijnt hetzelfde resultaat te geven
>>
> 
> ah! blijkbaar werkt het wel als ik de ! weglaat:
>  >> if (strstr($email, "\n") == FALSE)
> 
> bedankt!

oeps, te vroeg victorie gekraaid...
nu geeft hij ook bij geldige emailadressen dat het op een spambericht 
gaat...

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor:
> Erick T. Barkhuis schreef:
> > flor:
> >> spammers misbruiken mijn php script.
> > 
> >> is het mogelijk om de header injection ongedaan te maken?
> > 
> > Weiger gewoon alle invoer die tot gevolg heeft dat er control characters 
> > zoals \r en \n in de mailheaders terechtkomen.
> > 
> > Met PHP iets als 
> > 
> > if (strstr($afzender,"\n")) {
> > 	header ("Location: $foutpagina");
> > 	exit;
> > }
> > 
> > ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
> > mailheader terechtkomt, en $foutpagina de url bevat van een webdocument 
> > waarheen je de booswicht wilt doorverwijzen.
> 
> bedankt voor de hulp.
> Ik slaag er echter niet in om het voor elkaar te krijgen.

[...knip voorbeeld, dat nu even niet relevant is voor beantwoording.
Het zou overigens fijn zijn als jij zelf ook af en toe iets zou knippen, 
en niet slechts een antwoord onderaan plaatst.]

> 
> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
> $thankyouurl 

Kennelijk zit er dan geen return in.

Probeer eerst eens eenvoudig (om te zien of het wellicht te maken heeft 
met bewerkingen die je op je invoer loslaat voordat je aan dit stukje 
toekomt:)

> if (strstr($afzender,"yes")) {
> 	header ("Location: $foutpagina");
> 	exit;
> }

En plaats in $afzender de string "yes".
Test dan eens of je wel bij deze uitvraging terechtkomt, met:

> if (strstr($afzender,"yes")) {
> 	echo ("$afzender met yes gevonden");
> 	exit;
> } else {
> 	echo ("$afzender zonder yes gevonden");
> 	exit;
> }

....in plaats van voornoemd stukje met 'header()' en zo.
Ben benieuwd.



-- 
Van B&B via Bikes en Sculptures tot Webdesign: 
http://ardane.com

flor schreef:

>>> Tim Van Wassenhove schreef:
>>>> if (strstr($email, "\n") !== FALSE) {
>>>>  header('Location: http://example.com');
>>>>  exit;
>>>> }

>> ah! blijkbaar werkt het wel als ik de ! weglaat:
>>  >> if (strstr($email, "\n") == FALSE)
> oeps, te vroeg victorie gekraaid...
> nu geeft hij ook bij geldige emailadressen dat het op een spambericht 
> gaat...

Ik kan je probleem niet reproduceren:


require_once('simpletest/unit_tester.php');
require_once('simpletest/reporter.php');

function DoesNotHaveNewLine($input) {
         return (strstr($input, "\n") === FALSE);
}

class TestOfDoesNotHaveNewLine extends UnitTestCase {
         function test1() {
                 $input = "mike@example.com";
                 $this->assertTrue(DoesNotHaveNewLine($input));
         }

         function test2() {
                 $input = "mike@example.com\n";
                 $this->assertFalse(DoesNotHaveNewLine($input));
         }

         function test3() {
                 $input = "mi\nbcc:john@example.com\r\n\r\n";
                 $this->assertFalse(DoesNotHaveNewLine($input));
         }
}

$test = &new TestOfDoesNotHaveNewLine();
$test->run(new HtmlReporter());




-- 
Tim Van Wassenhove <url:http://www.timvw.be/>

Tim Van Wassenhove schreef:
> flor schreef:
> 
>>>> Tim Van Wassenhove schreef:
>>>>> if (strstr($email, "\n") !== FALSE) {
>>>>>  header('Location: http://example.com');
>>>>>  exit;
>>>>> }

> Ik kan je probleem niet reproduceren:
> 
> 
> require_once('simpletest/unit_tester.php');
> require_once('simpletest/reporter.php');
> 
> function DoesNotHaveNewLine($input) {
>         return (strstr($input, "\n") === FALSE);
> }
> 
> class TestOfDoesNotHaveNewLine extends UnitTestCase {
>         function test1() {
>                 $input = "mike@example.com";
>                 $this->assertTrue(DoesNotHaveNewLine($input));
>         }
> 
>         function test2() {
>                 $input = "mike@example.com\n";
>                 $this->assertFalse(DoesNotHaveNewLine($input));
>         }
> 
>         function test3() {
>                 $input = "mi\nbcc:john@example.com\r\n\r\n";
>                 $this->assertFalse(DoesNotHaveNewLine($input));
>         }
> }

Helemaal waterdicht is de techniek niet:

function test4() {
  $input = 
"sender@anonymous.www%0ACc:recipient@someothersite.xxx%0ABcc:somebloke@grrrr.xxx,someotherbloke@oooops.xxx";
  $this->assertFalse(DoesNotHaveNewLine($input));
}


-- 
Tim Van Wassenhove <url:http://www.timvw.be/>

Erick T. Barkhuis schreef:
> flor:
>> Erick T. Barkhuis schreef:
>>> flor:
>>>> spammers misbruiken mijn php script.
>>>> is het mogelijk om de header injection ongedaan te maken?
>>> Weiger gewoon alle invoer die tot gevolg heeft dat er control characters 
>>> zoals \r en \n in de mailheaders terechtkomen.
>>>
>>> Met PHP iets als 
>>>
>>> if (strstr($afzender,"\n")) {
>>> 	header ("Location: $foutpagina");
>>> 	exit;
>>> }
>>>
>>> ....waarbij $afzender een ingevoerd veld is waarvan de inhoud in een 
>>> mailheader terechtkomt, en $foutpagina de url bevat van een webdocument 
>>> waarheen je de booswicht wilt doorverwijzen.
>> bedankt voor de hulp.
>> Ik slaag er echter niet in om het voor elkaar te krijgen.
> 
> [...knip voorbeeld, dat nu even niet relevant is voor beantwoording.
> Het zou overigens fijn zijn als jij zelf ook af en toe iets zou knippen, 
> en niet slechts een antwoord onderaan plaatst.]
> 
>> als ik nu een "\n" in het emailadres zet, krijg ik toch nog de 
>> $thankyouurl 
> 
> Kennelijk zit er dan geen return in.
> 
> Probeer eerst eens eenvoudig (om te zien of het wellicht te maken heeft 
> met bewerkingen die je op je invoer loslaat voordat je aan dit stukje 
> toekomt:)
> 
>> if (strstr($afzender,"yes")) {
>> 	header ("Location: $foutpagina");
>> 	exit;
>> }
> 
> En plaats in $afzender de string "yes".
> Test dan eens of je wel bij deze uitvraging terechtkomt, met:
> 
>> if (strstr($afzender,"yes")) {
>> 	echo ("$afzender met yes gevonden");
>> 	exit;
>> } else {
>> 	echo ("$afzender zonder yes gevonden");
>> 	exit;
>> }
> 
> ....in plaats van voornoemd stukje met 'header()' en zo.
> Ben benieuwd.

hij geeft:

> yes zonder yes gevonden

??

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor:

> hij geeft:
> 
> > yes zonder yes gevonden
> 
> ??

HUH?


Heb je echt, werkelijk, letterlijk, dit getiept? ==>

<?php
$afzender="yes";
if (strstr($afzender,"yes")) {
 	echo ("$afzender met yes gevonden");
 	exit;
 } else {
 	echo ("$afzender zonder yes gevonden");
 	exit;
 }
?>


-- 
Van B&B via Bikes en Sculptures tot Webdesign: 
http://ardane.com

Erick T. Barkhuis schreef:
> flor:
> 
>> hij geeft:
>>
>>> yes zonder yes gevonden
>> ??
> 
> HUH?
> 
> 
> Heb je echt, werkelijk, letterlijk, dit getiept? ==>
> 
> <?php
> $afzender="yes";
> if (strstr($afzender,"yes")) {
>  	echo ("$afzender met yes gevonden");
>  	exit;
>  } else {
>  	echo ("$afzender zonder yes gevonden");
>  	exit;
>  }
> ?>

nee, ik dacht dat ge bedoelde om dit te integreren in mijn script.
Ik heb als "emailadres" in het form (=$afzender) yes ingegeven en toen 
kreeg ik bovenstaande als resultaat
als ik letterlijk het script kopieer en uitvoer krijg ik natuurlijk wel 
"yes met yes" als resultaat

-- 
Flor

Wat is het duurste internetland?
http://www.nationmaster.com/graph/int_int_cha-internet-charges

flor schreef:

>> ah! blijkbaar werkt het wel als ik de ! weglaat:
>>  >> if (strstr($email, "\n") == FALSE)

De inverse van !== is === en niet ==

(http://be2.php.net/manual/en/language.operators.comparison.php)


-- 
Tim Van Wassenhove <url:http://www.timvw.be/>