Devo disinfettare i dati immessi dall'utente prima di inviarli tramite e-mail

Question

Ho un modulo in cui accetto il nome, l'e-mail e il messaggio di un utente. Faccio la convalida per nome, e-mail e messaggio e lo mando semplicemente usando la funzione mail().

Se inserissi $name, $email e $message in un database, vorrei evitare questi dati per l'iniezione SQL; o, se stavo echeggiando su una pagina web, vorrei usare htmlspecialchars().

Cosa devo fare quando invio questi dati tramite e-mail? So che non mi devo preoccupare dell'iniezione SQL, ma per quanto riguarda XSS? Dovrei usare htmlspecialchars() anche su queste tre variabili?

mando la mail come questa:

mail('admin@mywebsite.com', 'Contact From: '. $name, "$message", 'From: '. $email); 

Ho letto di iniezione e-mail, ma non riesco a capirlo.

Per favore fatemi sapere.

Answer 1

L'escape dipende interamente dal contesto in cui sono incorporati i dati.

Stai inviando messaggi HTML? Quindi hai un contesto HTML e devi usare htmlspecialchars().

Se si inviano messaggi di testo in chiaro, non è possibile eseguire l'escape per testo normale.

L'unica minaccia sarebbe che il tuo client di posta abbia qualche bug che interpreti il ​​testo in chiaro come qualcosa di eseguibile e poi agisce quando ricevi strani nomi e indirizzi di posta.

Ma questo si applica solo al contenuto della posta, non alle intestazioni effettive.

Si sta utilizzando un'intestazione di posta personalizzata From. Non usare questo. From viene utilizzato nei filtri spam. Se inserissi il mio indirizzo e-mail e tu invii questa mail con From: my@mail, stai impersonando il mio server di posta elettronica. Lo spam utilizzato per nascondere la fonte reale e reindirizzare i reclami e il feedback degli errori al ragazzo infelice dietro l'indirizzo di posta elettronica. Per questo oggi ci sono meccanismi che prevengono tali abusi. Quindi non fingere di mandare questa mail - TU.

Se si desidera essere in grado di rispondere con un clic sul pulsante di risposta, utilizzare l'intestazione Reply-to, ma utilizzare sempre From: dont-answer@YOURWEBSITE.example.

Inoltre, queste intestazioni personalizzate sono il punto di ingresso per cose brutte. Assicurati di aggiungere solo indirizzi email. Assicurati di non aggiungere nessun carattere di avanzamento riga. Questi farebbero sì che il server di posta pensi che ci sia una nuova intestazione in arrivo, e questo potrebbe portare all'iniezione di intestazione della posta.

Answer 2

Il problema è semplice. Se qualche utente può inviare a qualcun altro un'email, potrebbe utilizzare HTML o JavaScript che viene interpretato nella maggior parte dei client di posta elettronica e in ogni interfaccia webmail per riscrivere i contenuti. Poteva inserire un iFrame che caricava un altro sito o iniettava uno Script PopUp.

È molto importante disinfettare l'input nel modo in cui lo si sanitizza per un browser.

Answer 3

è necessario convalidare l'indirizzo di posta elettronica per assicurarsi che singolari e non più indirizzi e-mail per fermare lo spamming

http://www.php.net/manual/en/filter.filters.validate.php

$email = "email@me.com"; 

if(!filter_var($email, FILTER_VALIDATE_EMAIL)) 
    { 
    echo "email not valid"; // do not send 
    } 
else 
    { 
    echo "email valid"; // send 
    }