Skip to content
< Vorheriger Eintrag | Nächster Eintrag >

Freitag, 2. Februar 2007, 19:13

Wurm-Seuche

Der heutige Tag auf unseren Shared-Hosting-Servern war geprägt von Würmern, die versucht haben, PHP-Applikationen zu finden, die sich zum Mail-Verschicken ausnutzen lassen. Leider hin und wieder sehr erfolgreich, trotz register_globals auf off.

Manchen PHP-Programmierern sollte man mal pro derart verschickte E-Mail einmal in den Hintern treten, damit sie wissen, wie weh es mir tut, wenn ich deren Code lesen muss. Soetwas ist nicht unüblich
// ..

mail($_REQUEST['recipient'], $_REQUEST['subject'], $_REQUEST['message'], 'From: Kontaktformular');

//...
:schuettel:

Kommentare

Ansicht der Kommentare: Linear | Verschachtelt

Markus Thielmann

Und wenn man sie dann auf das Problem aufmerksam macht, wird eine Validierung mittels JavaScript ergänzt.

Denis

Ich erinner' mich an eins meiner ersten Scripte.

mail('myaddressgoeshere@example.com', 'Contact Form', $_POST['msg'])...

das hatte auch zu einem nicht geringen Schock und noch weniger leerem Postfach geführt. :-(

Aber heutzutage sind ja nicht mal mehr die Mails an sich das Problem, das kann ich filtern.
Problematisch sind schon die Unmengen an Zugriffen...!!!

Wenn ich mir überlege, was allein an Rechenleistung bei mir dabei draufgeht, Spam von Gutem zu trennen, ... da wüsste ich echt besseres mit anzufangen.

David Hackl

So ich hab weil mir grad langweilig war mal nen kleinen Formmailer zusammengeschustert wo das ned passieren kann. Der kann natürlich gerne weitergegeben werden.

Auch manitu darf ihn gerne an kunden weitergeben.

URL: http://www.davidhackl.eu/formmailer.zip

Dieser kann komplett vom Design her angepasst werden (und muss er auch). Keine PHP-Kentnisse notwendig.

lg, David von der PHP-Werkstatt

Marco

nur mal beim schnellen drüberschauen gesehen:

---------------------------
formmailer.php, Zeile 70
---------------------------
include(/var/www/vhosts/php-werkstatt.at/httpdocs/formmail/error_fm.php)

wird wahrscheinlich nicht bei jedem funktionieren..... ;)

jd

aber solche formulare sind noch harmlos und in selbstgeschriebenem potentiell schwer zu entdecken (für den angreifer) ... schlimmer finde ich kunden die fertige scripte verwenden, diese aber nicht updaten...

... da bleibt nur die grobe kelle übrigt, aber selbst dann wird nur ein feature abgeschaltet aber die software bleibt in der gleichen version auf dem webspace ...

also hoster sich gleich einen mailout cluster hinzustellen, der jede mail via dcc und spamassassin prüft und womöglich noch andere rechenintensivere dinge mag zwar von leute wie sorbs verlangt werden ... aber wirklich machbar ist es nicht...

David Hackl

das problem ist auch dass diese spambots nach variablennamen alla name, email, titel, text sucht. und so nennen das dann nunmal die meisten. dann isses nicht mehr viel arbeit es als spam zu missbrauchen da ich im text dann einfach hinten in die header x-beliebige empfänger einfügen könnte. oder es wird der echte absender benutzt. der steht ja auch im additional header. ein kleines "\n BCC: ..." reicht da schon.

lg, david

jd

da gibt es dann nur noch suhosin was einem helfen kann ... meiner ansicht nach.

Andreas

Aber wieso?
Das Automagic in PHP verhindert doch alles!1!elf

kopfschüttel

Sehe ich leider auch viel zu oft.

eco

Ichh hatte zum Glück kein Mailingproblem mit Spammern (wobei ich zugeben muss, dass ich diese Konstukt oben in meiner Anfängerzeit auch verbrochen habe ;-)) aber mit Kommentarspam. Hab jetzt mal Captcha eingebaut (was unter TYPO3 auch nur 3 Mausklicks sind). Aber eines schwöre ich, wenn mir jemals son ein niederträchtiges %$&§&, %$&"%& und §$%"&spammer in die Hände fällt werde ich ***jugendschutzzensur***! Ahhrg

Andreas

Captcha klappt ja nur für manuelle Eingaben, alles, was per Trackback hereinkommt, filtert man so nicht heraus. Und leider macht sich kein Spammer die Arbeit und geht direkt auf deine Seite, sondern die versuchen alle bloss, per Script und einem Trackback Request ihren Spam bei dir abzuladen.

eco

Ich habe bisher noch keinen Trackback-Spam. Alles nur direkte Kommentare. Und alle anscheinend per Script. Da hilft Captcha. Auf jeden Fall ist jetzt wieder Ruhe.

Kommentar schreiben

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden.
CAPTCHA

BBCode-Formatierung erlaubt
Formular-Optionen