[PHP] Ist mein Mailskript sicher?

[Luckie]

OK, überredet. Wird nachher eingebaut.

Was kann man sonst noch an der Funktion verbessern?

[Andreas L.]

Zitat von Luckie:

Ich glaube genau das will ich nicht:

Zitat:

htmlentities — Wandelt alle geeigneten Zeichen in entsprechende HTML-Codes um

Ich will sie ja raus haben.

nein, das wandelt z. B. > in &gt; um, damit werden also Tags wie z. B. <a>, <b>, etc.. unschädlich gemacht.

[SirThornberry]

Zitat von Luckie:

Wenn ich die Slashes entferne, dann wird doch aus "\n" "n" und ist somit auch unschädlich. Oder irre ich da jetzt?

Du irrst. Denn "\n" Ist ja nur eine Schreibweise. Intern kommt da kein "\" vor. Das ist als würdest du mit Delphi einen Zeilenumbruch entfernen wollen in dem du alle "#" durch nichts ersetzt. Da ist auch nicht das Ergebnis das dann Anstelle des Zeilenumbruchs 13 und 10 als Zahlen im Text stehen.

[Namenloser]

Zitat von SirThornberry:

Zitat von Luckie:

Wenn ich die Slashes entferne, dann wird doch aus "\n" "n" und ist somit auch unschädlich. Oder irre ich da jetzt?

Und was macht dein Script, wenn ich "\\n" eingebe? Richtig, es wandelt mir brav das ganze in "\n" um. Da bedank ich mich als Angreifer doch...

Man sollte generell vorsichtig sein, mit Hilfe von str_replace oder preg_replace Formularwerte/Parameter abzusichern. Z.B. könnte man auf die Idee kommen, bei einer Pfadangabe aus Sicherheitsgründen ganz naiv ".." durch "" zu ersetzen. Allerdings übersieht man dabei leicht, was passiert, wenn der Angreifer "...." übergibt. Es gibt viele Sicherheitslücken solcher Art, und nicht alle sind auf den ersten Blick so offensichtlich.

[alcaeus]

Kurzum: nein, ist es nicht. Absolut nicht. So unsicher dass ich dir empfehle, es sofort offline zu nehmen falls du es online hast. Die Gruende hast du schon gehoert.

Zitat von Luckie:

Ich wollte es eigentlich selber machen und nichts fertiges verwenden - auch zu Lernzwecken.

Dann lies den Code der Library, such Bugs, melde Bugs, biete an den Code zu verbessern. Die Welt hat aber absolut gar nichts davon wenn der Millionste PHP-Frickler die Millionste Spam-Schleuder entwickelt nur weil er a) zu klug ist um ne fertige Library zu verwenden die auch syntaktisch korrekte Mails schickt (sich nur auf sendmail zu verlassen ist nicht immer so klug) und b) keine Ahnung von Absicherung von Input hat. Nimms mir nicht uebel, aber in diesem Fall meine ich es mit der gesamten Boshaftigkeit die man im Text rausliest.
Zur Regex die die E-Mail-Adresse validiert:
* [e-mail] (ist gueltig, wird abgelehnt)
* [e-mail] (ist gueltig, wird abgelehnt, vgl. auch .museum auf Wikipedia)
* abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvwx yzabcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuv wxyzabcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrst uvwxyzabcdefghijklmnopqrstuvwxyzabcdefghijklmnopqr stuvwxyz@abcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstuvw xyzabcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrstu vwxyzabcdefghijklmnopqrstuvwxyzabcdefghijklmnopqrs tuvwxyz.de [die Leerzeichen bitte ignorieren, die Software fuegt diese ein] (ist ungueltig, wird akzeptiert)
Du solltest dir evtl. nochmal RFC 5322 zu Gemuete fuehren.

Greetz
alcaeus

[Luckie]

Zitat von Andreas L.:

Zitat von Luckie:

Ich glaube genau das will ich nicht:

Zitat:

htmlentities — Wandelt alle geeigneten Zeichen in entsprechende HTML-Codes um

Ich will sie ja raus haben.

nein, das wandelt z. B. > in &gt; um, damit werden also Tags wie z. B. <a>, <b>, etc.. unschädlich gemacht.

Na ja gut, mit strip_tags schmeiße ich ja den ganzen HTML-Code raus.

Zitat:

Man sollte generell vorsichtig sein, mit Hilfe von str_replace oder preg_replace Formularwerte/Parameter abzusichern.

Was wäre eine bessere Lösung?

[arbu man]

wenn der string \n enthält fehler ausgeben, bei der eingabe über ein einzeiliges input kann es sich eigentlich nur noch um einen hack handeln?