[php] Formularmissbrauch abwehren

[Lutz Zetzsche]

Am Freitag, 2. Dezember 2005 08:38 schrieb Lutz Zetzsche:
> 2. Und noch mal gesondert: Genau die Header prüfen, die mitgesendet werden.
> Und auch den Content, wenn die Mails auch an externe Personen versandt
> werden können (Beispiel: "Seite empfehlen").

Hierzu noch eine kleine Ergänzung:

Die Prüfung sollte umfassen, ob die übergebenen Parameter neben unerlaubten 
Zeichen, wie "\n", auch unerlaubte Zeichenketten, wie "CC:", "BCC:" etc. 
enthält. Ebenso muß der Inhalt des Eingabefeldes für die Empfängeradresse 
nicht nur darauf geprüft werden, ob es unerlaubte Zeichen enthält, sondern 
auch darauf, ob das @-Zeichen nach der Bereinigung mehrfach vorkommt. ;-)

Auf diese Weise kann man schon mal sicherstellen, daß eine Mail nur eine einen 
externen Empfänger gleichzeitig verschickt und nichts weiter in den 
Mail-Header eingschleust werden kann.

Den Rest sollte man dem SMTP-Server überlassen. Der sollte die Mails vor dem 
Versand durch einen gut trainierten Spamfilter schicken und alles 
zurückweisen, was die Spamkriterien erfüllt. Es würde keinen Sinn machen, das 
alles ins PHP-Skript zu programmieren. ;-)

Lutz