• PHP Secure E-mails

    在上一节中的 PHP e-mail 脚本中，存在着一个漏洞。

    1. PHP E-mail 注入
    2. 首先，请看上一章中的 PHP 代码：
    3.  
    4. <html>
    5. <head>
    6. <meta charset="utf-8">
    7. <title>教程(runoob.com)</title>
    8. </head>
    9. <body>
    10.  
    11. <?php
    12. if (isset($_REQUEST['email'])) { // 如果接收到邮箱参数则发送邮件
    13.     // 发送邮件
    14.     $email = $_REQUEST['email'] ;
    15.     $subject = $_REQUEST['subject'] ;
    16.     $message = $_REQUEST['message'] ;
    17.     mail("someone@example.com", $subject,
    18.     $message, "From:" . $email);
    19.     echo "邮件发送成功";
    20. } else { // 如果没有邮箱参数则显示表单
    21.     echo "
    22.     Email: 
    23.     Subject: 
    24.     Message:
    25.     
    26.     
    27.     ";
    28. }
    29. ?>
    30.  
    31. </body>
    32. </html>

    以上代码存在的问题是，未经授权的用户可通过输入表单在邮件头部插入数据。

    假如用户在表单中的输入框内加入如下文本到电子邮件中，会出现什么情况呢？

    1. someone@example.com%0ACc:person2@example.com
    2. %0ABcc:person3@example.com,person3@example.com,
    3. anotherperson4@example.com,person5@example.com
    4. %0ABTo:person6@example.com

    与往常一样，mail() 函数把上面的文本放入邮件头部，那么现在头部有了额外的 Cc:、Bcc: 和 To: 字段。当用户点击提交按钮时，这封 e-mail 会被发送到上面所有的地址！

    PHP 防止 E-mail 注入

    防止 e-mail 注入的最好方法是对输入进行验证。

    下面的代码与上一章中的类似，不过这里我们已经增加了检测表单中 email 字段的输入验证程序：

    1. <html>
    2. <head>
    3. <meta charset="utf-8">
    4. <title>教程(runoob.com)</title>
    5. </head>
    6. <body>
    7. <?php
    8. function spamcheck($field)
    9. {
    10.     // filter_var() 过滤 e-mail
    11.     // 使用 FILTER_SANITIZE_EMAIL
    12.     $field=filter_var($field, FILTER_SANITIZE_EMAIL);
    13.  
    14.     //filter_var() 过滤 e-mail
    15.     // 使用 FILTER_VALIDATE_EMAIL
    16.     if(filter_var($field, FILTER_VALIDATE_EMAIL))
    17.     {
    18.         return TRUE;
    19.     }
    20.     else
    21.     {
    22.         return FALSE;
    23.     }
    24. }
    25.  
    26. if (isset($_REQUEST['email']))
    27. {
    28.     // 如果接收到邮箱参数则发送邮件
    29.  
    30.     // 判断邮箱是否合法
    31.     $mailcheck = spamcheck($_REQUEST['email']);
    32.     if ($mailcheck==FALSE)
    33.     {
    34.         echo "非法输入";
    35.     }
    36.     else
    37.     {    
    38.         // 发送邮件
    39.         $email = $_REQUEST['email'] ;
    40.         $subject = $_REQUEST['subject'] ;
    41.         $message = $_REQUEST['message'] ;
    42.         mail("someone@example.com", "Subject: $subject",
    43.         $message, "From: $email" );
    44.         echo "Thank you for using our mail form";
    45.     }
    46. }
    47. else
    48. { 
    49.     // 如果没有邮箱参数则显示表单
    50.     echo "
    51.     Email: 
    52.     Subject: 
    53.     Message:
    54.     
    55.     
    56.     ";
    57. }
    58. ?>
    59.  
    60. </body>
    61. </html>

    在上面的代码中，我们使用了 PHP 过滤器来对输入进行验证：

    • FILTER_SANITIZE_EMAIL 过滤器从字符串中删除电子邮件的非法字符
    • FILTER_VALIDATE_EMAIL 过滤器验证电子邮件地址的值
  • 相关阅读:
    Educational Codeforces Round 155 (Rated for Div. 2)
    操作系统(linux0.11)的启动
    idna解码nginx重要文件的位置之[SUCTF 2019]Pythonginx
    多线程JUC 第2季 ReentranctLock实现加锁和解锁过程
    铝型材【欧标】
    css实现鼠标悬停时元素的显示与隐藏
    【每日训练】连续最大和
    基于QT实现的职工工资管理系统
    多商家AI智能名片商城系统（开源版）——构建高效数字化商业新生态
    torch.cuda.is_avaliable()在命令行里是true，pycharm是false【省流：换Pycharm】
  • 原文地址：https://blog.csdn.net/unbelievevc/article/details/126517248