Проверка кода на ПХП для отправки почты...

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Вебмастеру (http://forum.oszone.net/forumdisplay.php?f=22)

- - Проверка кода на ПХП для отправки почты... (http://forum.oszone.net/showthread.php?t=31115)

:oszone:ВрЕмЕчКо ДоБрЕньКоЕ п0лЬ3оВаtелям сего замечательного ресурса!
Прошу знающих ПХП дать совет/рекомендацию.
Вот ниже дан код, сделанный под заказ.
Есть несколько моментов которые
мне чайникуПХП здесь завуалированы.

1. Соответсвует ли код - безопастности,
"....слышал что метод POST легко
поддаётся деструктивному коду, в
смысле конструция этого метода + пару
тройку команд", так ли это? (если не
правильно пояснил, заранее приношу
извинения, пересмотрю при акценте на
этот пункт)

2. Почему то нет пути для сендМаила?
Но тем не менее скрипт рабоает
:confused: Интересно:confused:

Цитата:

задаю все эти вопросы здесь, а не девелоперу, т.к. руководство потеряло
контакт с ним

:oszone:

:shuffle: Вот исходник на PHP, вообще буду признателен за аналитику по коду:
)

Код:

&lt;body bgcolor=&quot;#cc9966&quot; text=&quot;#999999&quot; link=&quot;#FFFFFF&quot; vlink=&quot;#FFFF00&quot; alink=&quot;#CCCCCC&quot;&gt; 

&lt;? 

print&quot; 

&lt;FORM method=\&quot;POST\&quot; action=\&quot;send.php?varx=send\&quot;&gt; 

 

&lt;P&gt;Ваше Имя:&lt;br&gt; 

&lt;INPUT type=\&quot;text\&quot; name=\&quot;Name\&quot; size=30&gt; 

&lt;/p&gt; 

 

&lt;P&gt;Ваш e-mail:&lt;br&gt; 

&lt;INPUT type=\&quot;text\&quot; name=\&quot;Email\&quot; size=30&gt; 

&lt;/p&gt; 

 

&lt;P&gt;Сообщение:&lt;br&gt; 

&lt;textarea name=\&quot;Message\&quot; cols=30 rows=5&gt;&lt;/textarea&gt; 

&lt;/p&gt; 

 

&lt;INPUT type=\&quot;submit\&quot; value=\&quot;Отправить\&quot;&gt; 

 

&lt;/FORM&gt;&quot;; 

 

switch($varx) : 

default : 

print &quot;&lt;table width= cellpadding=0 cellspacing=0 border=0 align=center&gt;&quot;; 

 

break; 

case(&quot;send&quot;) : 

 

if ($Email == &quot;&quot;) {print &quot;&lt;script language=JavaScript&gt;window.alert('Введите e-mail!');&lt;/script&gt;&quot;; exit;} 

if ($Message == &quot;&quot;) {print &quot;&lt;script language=JavaScript&gt;window.alert('Введите текст!');&lt;/script&gt;&quot;; exit;} 

if (!eregi(&quot;^([0-9a-z]([-_.]?[0-9a-z])*@[0-9a-z]([-.]?[0-9a-z])*\\.[a-wyz][a-z](fo|g|l|m|mes|o|op|pa|ro|seum|t|u|v|z)?)$&quot;, $Email) and $Email != &quot;&quot;) {print &quot;&lt;script language=JavaScript&gt;window.alert('Не правельный E-mail');&lt;/script&gt;&quot;; exit;} 

$er = 1; 

 

 *$ip = $REMOTE_ADDR; 

 *$date = date(&quot;d.m.Y&quot;); 

 

 *$info = &quot;Name:\t$Name\n&quot;; 

 *$info .= &quot;E-Mail:\t$Email\n&quot;; 

 *$info .= &quot;Message:\t$Message\n\n&quot;; 

 * 

 *$send_to = &quot;test@test.ru&quot;; * * * * * * 

 *$subject = &quot;Сообщение $date&quot;; * * * * * 

 * 

 *$headers = &quot;From: Ip адрес: $ip: \n&quot;; 

 *$headers .= &quot;Reply-To: $email\n\n&quot;; 

 * 

 *$send = mail($send_to, $subject, $info, $headers); 

 *if($send == 1) 

 *{ 

 * 

 *print (&quot;&lt;script language=JavaScript&gt;window.alert('Отправлено $date');&lt;/script&gt;&quot;); 

 

 *} 

 *else 

 * 

 *print (&quot;&lt;script language=JavaScript&gt;window.alert('Ошибка');&lt;/script&gt;&quot;); 

 

break; 

endswitch; 

print &quot;&lt;center&gt;&lt;p&gt;&lt;font size=\&quot;1\&quot; color=\&quot;#7D7D7D\&quot;&gt;&lt;/font&gt;&lt;/p&gt;&lt;center&gt;&quot;; 

?&gt;

[s]Исправлено: ran71me3rr0r, 9:51 29-06-2004[/s]

[s]Исправлено: ran71me3rr0r, 9:53 29-06-2004[/s]

[s]Исправлено: ran71me3rr0r, 9:55 29-06-2004[/s]

1) Можно генерировать POST запросы бочками, тут уж фильтрация и только фильтрация.
2) А скрипту (по крайней мере PHP скрипту) о пути к sendmail'у знать и не надо, на это есть знания у модуля или cgi реализации самого интерпритатора.

Много странностей... к примеру? Извольте:
1) Последний print в коде.
2) Если varx != send, то выводится заголовок таблицы и все...
3) Судя по коду юзабилити никакого нет. Кому приятно, что после отправки формы будут выдавать сообщения с диагностическими сообщениями? Причем жавой...
4) Сама отправка письма - простейшая.
5) \n\n тоже странно выглядит, я больше к \r\n привык
6) Нефильтрованные данные позволят мне добавить в переменную $headers такие поля как Bcc и Cc, что позволит использовать скрипт как точку рассылки спама по нужным адресам.
7) Даже без п. 6 можно воспользоваться скриптом как мейл-бомбером - зафлудить мыльницу test@test.ru

В общем, скрипт писАлся новичком...

ran71me3rr0r
и это весь скрипт???
а где окончание таблицы файла???

честно говоря то что использован eregi а на preg_match не очень хорошо, т.к. это не очень распространенный тип регулярных выражений, к тому же он отрубает часть разрешенных мыл!

например - АДРЕй[AT]vz.net
между прочим это разрешенное мыло!
и мыло на такие адреса ходят, я сам проверял!

Prisoner
там есть страшный регексп который проверяет мыло на валидность он ничего не нужного не пропустит!

ran71me3rr0r
в коне не определена переменная $ip, возможно на локалхосте у программиста она и определена, но я на 99% уверен, что у твоего хостера другие настройки!

Vlad Drakula, Prisoner
большое спасибо за своевременные и существенные ответы. Мне как чайникуПХП одно только понятно, из всех вышеперечисленных "магических слов, заклинаний", что данный скрипт вы бы не советовали устанавливать на инетПредставительсве фирмы.
:biglaugh:

ran71me3rr0r
ты все правильно подметил!

Vlad Drakula
Мда, ты прав. Буказоид в конце паттерна не заметил :\
ran71me3rr0r
Мягко сказано - не советовал бы :). Ибо основательно надо подходить к таким вещам...

Добавлено:

Vlad Drakula, уже третий топик я открываю - твоего поста нет, отправляю ответ - твой пост перед моим :)