Wie sicher ist mein Script?

24.10.2004, 12:06

Hallo,

Ich würde gerne wissen wie sicher mein php script ist und auf was ich noch achten müsste? Das script kommt die daten über ein html formular-

Code:

<html>
<head>
<title>WebMailer Application</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
</head>

<body>




<?
// copyleft by Florian Keller
// Have fun with this!
  
$ip = $HTTP_SERVER_VARS["REMOTE_ADDR"];
$browser = $HTTP_SERVER_VARS["HTTP_USER_AGENT"];
$Name = $HTTP_POST_VARS["Name"];	
$sender = $HTTP_POST_VARS["sender"];
$sendermail = $HTTP_POST_VARS["sendermail"];
$empfaenger = "contact@florian-keller.ch";
$betreff = $HTTP_POST_VARS["subjekt"];;
$info = "========= Sender Info ============
IP: $ip
Browser: $browser
==================================

$sendermail";

 // ueberpruefung ob Adresse gültig
// if(ereg("^(.+)@(.+)\\.(.+)$",$sender))
if(preg_match("!^\w[\w|\.|\-]+@\w[\w|\.|\-]+\.[a-zA-Z]{2,4}$!",$sender))
{
}else{
    echo("Sie haben keine gültige Email angegeben!
");
    echo("<script>alert(\"Klicken Sie auf OK, für eine Korrektur\");history.go(-1)</script>");
    exit;
}
 
mail($empfaenger, $betreff, $info,
       "From: $Name <$sender>");

echo "Email wurde gesendet";

?>



</body>
</html>

Vielen Dank gruss Flo

24.10.2004, 12:15

Was verstehst du in dem Fall unter "sicher" ? Solltest du die Überprüfung der Mail-Adresse meinen, dann ist dein Script absolut unsicher, da werden gültige Mail-Adressen als falsch anerkannt. Siehe dazu: http://pear.php.net/manual/en/package.mail.mail.php

Gruß
phpfan

24.10.2004, 13:29

Das verstehe ich nicht ganz, werde dein Link noch studieren aber welche Mail Adressen werden als falsch anerkannt?

Mit sicherheit mein ich:

Könnte ein böswilliger Anwender die Inahlte Preparieren und damit z.B. andere Befehle ausführen? Müsste ich die anderen Felder auch überprüfen und spezifische Charakter verbieten?

Ich bin selber kein PHP Coder sondern eher, c++, Perl coder, habe mir nur die syntax von php angeeignet.

24.10.2004, 15:10

ich glaub dein script ist sicher...
wenn niemand auf den php-code zugriff hat, denn kann er ihn auch nicht verändern und "bösen" code ausführen lassen

24.10.2004, 22:23

Woher weißt Du nach mail(), ob die Mail auch gesendet wurde?

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Diverses aus meinem Apache Logs	robo47	Server, Hosting und Workstations	5	25.05.2007 22:45
Script beendet sich ohne Fehlermeldung	Zahl	PHP Tipps 2006	6	04.06.2006 20:41
passwort script problem		PHP Tipps 2006	8	15.02.2006 10:30
[Erledigt] php script und ixed		PHP Tipps 2005-2	14	12.10.2005 13:34
[Erledigt] Verzögerung durch included Script? Umgehen?		PHP Tipps 2005-2	4	10.07.2005 19:26
[Erledigt] Relay Script		PHP-Fortgeschrittene	11	01.06.2005 16:02
[Erledigt] Hilfe bei Download Verwaltungs Script		PHP Tipps 2005	8	04.05.2005 10:29
Fehler bei Script, welches Ordner erstellt	PsychoEagle	PHP Tipps 2005	3	23.04.2005 16:03
[Erledigt] python script mit php aufrufen...		PHP-Fortgeschrittene	1	17.11.2004 17:11
PHP Script aus PHP aufrufen	Stümper	PHP Tipps 2004	5	26.09.2004 08:15
"das" Script oder "der" Script??	Simbo	Off-Topic Diskussionen	31	16.09.2004 17:04
[Erledigt] PHP Script von Windows auf Linux		PHP-Fortgeschrittene	7	15.06.2004 13:23


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

24.10.2004, 12:15
Gast Beiträge: n/a	Was verstehst du in dem Fall unter "sicher" ? Solltest du die Überprüfung der Mail-Adresse meinen, dann ist dein Script absolut unsicher, da werden gültige Mail-Adressen als falsch anerkannt. Siehe dazu: http://pear.php.net/manual/en/package.mail.mail.php Gruß phpfan

24.10.2004, 13:29
Gast Beiträge: n/a	Das verstehe ich nicht ganz, werde dein Link noch studieren aber welche Mail Adressen werden als falsch anerkannt? Mit sicherheit mein ich: Könnte ein böswilliger Anwender die Inahlte Preparieren und damit z.B. andere Befehle ausführen? Müsste ich die anderen Felder auch überprüfen und spezifische Charakter verbieten? Ich bin selber kein PHP Coder sondern eher, c++, Perl coder, habe mir nur die syntax von php angeeignet.

24.10.2004, 15:10
Gast Beiträge: n/a	ich glaub dein script ist sicher... wenn niemand auf den php-code zugriff hat, denn kann er ihn auch nicht verändern und "bösen" code ausführen lassen

24.10.2004, 22:23
Gast Beiträge: n/a	Woher weißt Du nach mail(), ob die Mail auch gesendet wurde?