PHP E-mail 注入是一种安全漏洞，攻击者尝试通过向邮件发送功能输入恶意数据，来操纵邮件的头部或内容，从而可能执行未授权的操作或窃取信息。尽管现代的邮件发送库和函数已经对这类攻击有所防范，但了解这种攻击的原理和如何防范它仍然是非常重要的。
E-mail 注入攻击通常发生在应用程序使用不安全的方式构建邮件头部或内容时。攻击者可能会尝试在表单字段中输入特定的字符或字符串，如换行符（\r\n），来插入额外的邮件头部或修改现有的头部。如果应用程序没有对这些输入进行充分的验证和过滤，攻击者就可能成功地执行注入攻击。
要防范 E-mail 注入攻击，你应该遵循以下最佳实践：
下面是一个简单的 PHP 脚本示例，它展示了如何不安全地构建和发送电子邮件，容易受到 E-mail 注入攻击：
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$to = $_POST['email']; // 假设这是用户输入的目标邮箱地址
$subject = 'Contact Request';
$message = "Name: " . $_POST['name'] . "\n\n" . $_POST['message']; // 假设这是用户输入的消息
$headers = "From: webmaster@example.com\r\n";
$headers .= "Reply-To: " . $_POST['email'] . "\r\n"; // 这里使用了用户输入的邮箱作为 Reply-To
// 使用 mail() 函数发送邮件
if (mail($to, $subject, $message, $headers)) {
echo "Email sent successfully";
} else {
echo "Failed to send email";
}
}
?>
在这个例子中，$to、$name、$message 和 $_POST['email'] 都是直接从用户输入中获取的，没有进行任何验证或过滤。攻击者可以在 $_POST['email'] 中输入类似 attacker@example.com\r\nCC:attacker2@example.com 的内容，尝试将邮件抄送给其他收件人。
下面是一个使用 PHPMailer 库安全发送邮件的示例：
require 'vendor/autoload.php'; // 引入 PHPMailer 的自动加载器
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$mail = new PHPMailer(true);
try {
// 设置 SMTP 服务器和认证信息
$mail->SMTPDebug = 2; // 调试模式，生产环境中应关闭或设置为0
$mail->isSMTP(); // 使用 SMTP
$mail->Host = 'smtp.example.com';
$mail->SMTPAuth = true;
$mail->Username = 'your-username@example.com';
$mail->Password = 'your-password';
$mail->SMTPSecure = 'tls';
$mail->Port = 587;
// 设置发件人信息
$mail->setFrom('webmaster@example.com', 'Webmaster');
// 验证和设置收件人信息
$recipientEmail = $_POST['email'];
if (filter_var($recipientEmail, FILTER_VALIDATE_EMAIL)) {
$mail->addAddress($recipientEmail, $_POST['name']);
} else {
throw new Exception("Invalid recipient email address");
}
// 设置邮件主题和内容
$mail->Subject = 'Contact Request';
$mail->Body = $_POST['message']; // 假设这是用户输入的消息，这里应该进一步清理或转义
// 如果需要，可以安全地设置 Reply-To 头部
if (filter_var($_POST['replyEmail'], FILTER_VALIDATE_EMAIL)) {
$mail->addReplyTo($_POST['replyEmail'], $_POST['replyName']);
}
// 发送邮件
if ($mail->send()) {
echo "Email sent successfully";
} else {
echo "Failed to send email: " . $mail->ErrorInfo;
}
} catch (Exception $e) {
echo "Message could not be sent. Mailer Error: {$mail->ErrorInfo}";
}
} else {
echo "Invalid request method";
}
?>
PHP 防止 E-mail 注入的关键在于对用户输入进行适当的验证和过滤，确保输入的内容不会对邮件发送过程产生负面影响。下面将详细解释如何防止 E-mail 注入，并提供案例代码。
filter_var() 函数验证用户输入的电子邮件地址是否有效。htmlspecialchars() 或类似的函数过滤用户输入中的特殊字符，以防止它们被解释为邮件头部或内容的一部分。使用像 PHPMailer 这样的安全邮件发送库可以大大降低 E-mail 注入的风险。这些库通常提供了内置的安全机制，如自动转义特殊字符和验证输入。
下面是一个使用 PHPMailer 防止 E-mail 注入的示例代码：
require 'vendor/autoload.php'; // 引入 PHPMailer 的自动加载器
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
$mail = new PHPMailer(true);
try {
// 设置 SMTP 服务器和认证信息
$mail->isSMTP();
$mail->Host = 'smtp.example.com';
$mail->SMTPAuth = true;
$mail->Username = 'your-username@example.com';
$mail->Password = 'your-password';
$mail->SMTPSecure = 'tls';
$mail->Port = 587;
// 设置发件人信息
$mail->setFrom('webmaster@example.com', 'Webmaster');
// 验证并设置收件人信息
$recipientEmail = $_POST['email'];
if (filter_var($recipientEmail, FILTER_VALIDATE_EMAIL)) {
$mail->addAddress($recipientEmail);
} else {
throw new Exception("Invalid recipient email address");
}
// 设置邮件主题和内容
$mail->Subject = 'Contact Request';
$mail->Body = htmlspecialchars($_POST['message']); // 使用 htmlspecialchars 防止特殊字符被解释为 HTML 或邮件头部
// 如果需要，可以安全地设置 Reply-To 头部
$replyEmail = $_POST['reply_email'];
if (filter_var($replyEmail, FILTER_VALIDATE_EMAIL)) {
$mail->addReplyTo($replyEmail, $_POST['reply_name']);
}
// 发送邮件
if ($mail->send()) {
echo "Email sent successfully";
} else {
echo "Failed to send email: " . $mail->ErrorInfo;
}
} catch (Exception $e) {
echo "Message could not be sent: " . $e->getMessage();
}
} else {
echo "Invalid request method";
}
?>
在这个示例中，我们使用了 PHPMailer 库来发送邮件，并通过 filter_var() 函数验证了收件人的电子邮件地址。我们还使用了 htmlspecialchars() 函数对用户输入的邮件内容进行了过滤，以防止潜在的注入攻击。