Script auf Homepage für spam missbraucht

[christian]

Hallo,
ich hab meine Website fast komplett mit PHP gebaut. Letzte Woche wurden alle PHP-Dokumente auf meiner Seite gesperrt, weil angeblich spams über meine webpräsenz verschickt worden.

Ich kenne zwar das Problem der mail()-Funktion in PHP. Jedoch kann mein mail-Script auf meiner Seite eigentlich schon deshalb kaum missbraucht worden sein, weil ich einzelne Bestandteile der mail (z.B. den Text nämlich) nicht per Variable übergebe.

if(mail("$email", "Dies ist der Betreff", "Dies ist der Mailtext", "From: christian [e-mail]")){}

Eine Manipulation des Formulars ist doch kaum möglich, oder? Lediglich die Empfängeradresse wird per Variable übergeben, aber damit allein kann doch ein Spammer nichts anfangen, schließlich will er doch auch den Text der mail verändern...

[Sven Rautenberg]

Moin!

Eine Manipulation des Formulars ist doch kaum möglich, oder? Lediglich die Empfängeradresse wird per Variable übergeben, aber damit allein kann doch ein Spammer nichts anfangen, schließlich will er doch auch den Text der mail verändern...

Es reicht doch schon aus, wenn ein böser Bube nur versucht, den Mailtext zu ändern - aber trotzdem tausendfach Mails an unwilige Empfänger raushaut. Wenn sich von denen einer beim Provider beschwert, schaut der in seine Mail-Logfiles, sieht die Massenmails und dein Skript und sperrt erstmal rigoros. Auf eine genaue Analyse, ob deine Skripte angreifbar sind, muß er sich nicht einlassen.

Faustregel: Sorge dafür, dass kein Skript an beliebige Adressen mailen kann. Und wenn so eine Funktion doch unumgehbar ist, bereite dich auf Probleme vor, die auftreten können - wie geschehen.

- Sven Rautenberg

[_roro]

Hallo,

Eine Manipulation des Formulars ist doch kaum möglich, oder? Lediglich die Empfängeradresse wird per Variable übergeben, aber damit allein kann doch ein Spammer nichts anfangen, schließlich will er doch auch den Text der mail verändern...

Doch, kann er. Nämlich genau damit was: Mails an beliebige Empfänger senden.

--roro