Re: [ml] Header forgiati nelle mail spedite da PHP

On 11/3/06, Marco Bertorello <marco@xxxxxxxxxxxxxxxxxxxxx> wrote:
> In pratica, qualcuno riesce a fare una specie di "code-injection" su
> alcuni campi del form e forgiare l'header come vuole, per esempio
> inserendo un bcc con svariati indirizzi email.
>
> Es. se nel campo "nome" inseriscono qualcosa tipo:
>
> "into
> Content-Transfer-Encoding: quoted-printable
> Content-Type: text/plain
> X-Mailer: Lotus Notes elease 5.0.10 March 22, 2002
> Subject: $SOME_RANDOM_WORDS
> bcc: $SVARIATI_INDIRIZZI_EMAIL
>
> $TESTO_FORGIATO
> "
>
> riesce a spedire a $SVARIATI_INDIRIZZI_EMAIL quello che vuole.
>
>
> Conoscete un modo per proteggersi da questo tipo di attacchi?

In questi campi potresti iniziare a "blacklistare" caratteri non
permessi (Es. "0x0A", "\n", "0x0D", "\r", "%", ecc..) oppure ancor
meglio potresti consentire soltanto l'uso di alcuni caratteri (di
solito A-Za-z0-9).

Volendo potresti anche restringere il numero massimo di caratteri
inseribili (direi che 20-30 caratteri per un "nome" siano piu' che
sufficienti).

Qui trovi comunque alcuni esempi e soluzioni al tuo problema:
http://www.securephpwiki.com/index.php/Email_Injection

bye
--
Ruggiero `akira' Piazzolla  -  KeyID 0xBF6F6BAA on pgp.mit.edu