Ich verstehe immer noch nicht, was daran schlimm sein soll.

Mister Ad

tekknotrip

Naja, wenn diese ungeprüft laufen.....
Ich kann ja alles an dein Skript übermitteln was ich will, die Variablen hab ich fast mit 99% Sicherheit auch aus den Formularfeldern. Also schreib ich mir n Script, dass alle 0,01 Sec. ne E-mail an dein Script raus haut. Brauch mir ja nur den Quelltext anschauen , dieses bei mir nachbauen und automatisch andere Variablen einfügen. Oder willst du auf etwas bestimmtes hinaus?

Das ist aber unabhängig davon, ob das Formular benutzt wird oder nicht.
Angenommen, ich habe keinen Bock, alles selbst nachzubauen. Dann kann ich mir immer noch ein plugin für den Browser stricken, das mir die Formulare ausfüllt - no sweat.
Aus diesem Grund erfreuen sich Captchas immer noch gesteigerter Beliebtheit

M3g4Star

Wenn du mit SESSION arbeitest dürft das nicht gehen weil keiner weiß was du in deiner SESSION alles drin stehen hast .. bzw. wie du's überprüfst ... ?!?!

Auch wenn du mit captcha arbeiten würdest könnte keiner E-Mails verschicken ...

Ausserdem sollte die Zieladresse immer ne Fixe Adresse sein ...

*hm*

Seh so recht nicht das Problem ...

tekknotrip

@M3g4Star
--------Seh so recht nicht das Problem ...----------

Wenn man (so wie ich jetzt) eine Frage stellt und vernünftige Antworten von euch bekommt, gibt es kein Problem. Wenn ich aber nicht darauf aufmerksam geworden wäre, weil die Fehlerroutine anspringt, dann wäre das so weitergelaufen mit meinen <option> und fremden Werten.

Jetzt weis ich das man Session übergaben nutzen sollte, damit es einigermaßen sicher ist.

Übrigens nebenbei, das mit den captchas ist halt auch so ne Sache: siehe PhpBB. Es haut nicht richtig hin. Aber zumindest ist es eine Mauer.

Klar können Captchas ihr Ziel verfehlen - dann sind es eben keine ausreichend sicheren Captchas (mehr).

http://sam.zoy.org/pwntcha/

CC84

PHP kann ich das php 5 Kochbuch empfehlen aus dem Oreily Verlag.

Sicherheit allgemein eher keinen Plan, gibt nen großes Kapitel Formulare dazu auch in dem Buch, das hab ich aber noch nicht gelesen, kann sien, dass das auch vieles abdeckt.

xabbuh

Was hindert den Spammer daran, zunächst einen Request auf das Formular zu tätigen, um die Sessionid zu ermitteln? Anschließend sendet er diese Sessionid dann wieder in seinem POST-Request mit.

Du könntest dir das Buch mal ansehen: http://www.dpunkt.de/buecher/3-89864-369-7.html

tekknotrip

Danke für den Buchtipp, ahbs gleich mal bestellt...sieht vielversprechend aus!

Im Prinzip hast du auch wiederum recht, was das mit der Session anbelangt. Wenn man es darauf anlegt, geht alles. Für mich wärs aber dennoch hilfreich, wenn nicht jeder meine Ausgabe auf seine Art "Manipulieren" kann.

tekknotrip

So, habe dieses Buch nun durch und kann es nur empfehlen!