Как люди рассылают спам через мою контактную форму

Question

Сегодня со мной связались массы спама, отправляемого с домена. Это относительно простой сайт php с контактной формой, которая содержит имя, адрес электронной почты, телефон и сообщение. Я не вижу других способов использования сайта для рассылки спам-сообщений нескольким пользователям, если не был взломан весь сервер.

Письмо проверено, и плохие символы удаляются из тела сообщения. Я пробовал несколько способов изменить заголовки через форму, но не могу заставить что-либо работать, поэтому я начинаю думать, что формы безопасны.

Это проверка формы:

                              $to='[e-mail]';

              $messageSubject='Enquiry from the website';
              $confirmationSubject='Your email to website.com';
              $confirmationBody="Thankyou for your recent email enquiry to website.com.\n\nYour email has been sent and we will get back to you as soon as possible.\n\nThe message you sent was:\n";
              $email='';
              $body='';
              $displayForm=true;
              if ($_POST){
                $email=stripslashes($_POST['email']);
                $body=stripslashes($_POST['body']);
                $name=stripslashes($_POST['name']);
                $phone=stripslashes($_POST['phone']);
                // validate e-mail address
                $valid=eregi('^([0-9a-z]+[-._+&])*[0-9a-z]+@([-0-9a-z]+[.])+[a-z]{2,6}$',$email);
                $crack=eregi("(\r|\n)(to:|from:|cc:|bcc:)",$body);
                $spam=eregi("http",$body);
                $businessBody = "Enquiry from: $name\nEmail: $email\nPhone: $phone\n\nMessage:\n$body";
                if ($email && $body && $phone && $name && $valid && !$crack & !$spam){
                    if (mail($to,$messageSubject,$businessBody,'From: '.$email."\r\n") && mail($email,$confirmationSubject,$confirmationBody.$body,'From: '.$to."\r\n")){
                        $displayForm=false;
                        echo "<div><p>Your message to us was sent successfully, and a confirmation copy has also been sent to your e-mail address.</p><p>Your message was:<br>".htmlspecialchars($body)."</p></div>";
                    }
                    else echo '<div class="emailMessage"><p>Something went wrong when the server tried to send your message. This might be due to a server error, and is probably not your fault. We apologise for any inconvenience caused. You are welcome to telephone us on 01383 625110</p></div>'; // the messages could not be sent
                }
                else if ($crack) echo '<div class="emailMessage"><p>Your message contained e-mail headers within the message body. This seems to be a cracking attempt and the message has not been sent.</p></div>'; // cracking attempt
                else if ($spam) echo '<div class="emailMessage"><p>Your message contained characters that our system has flagged as spam email and has not been sent.</p></div>'; // spam mail!
                else echo '<div class="emailMessage"><p>Your message could not be sent. You must complete all fields - name, phone number, e-mail address and a message.</p></div>'; // form not complete
                }

Кто-нибудь может увидеть способ злоупотребления этой формой?

РЕДАКТИРОВАТЬ

Выяснилось, что кто-то разместил на сервере другой зашифрованный файл, созданный для массовой рассылки, поэтому он не был получен из этой формы. В любом случае, спасибо за ответы, они могут помочь другим!

Answer 1

Используйте подходящий почтовый класс, такой как SwiftMailer, и у вас будет меньше проблем (и более красивый код тоже). Как правило, эти виды форм злоупотребляются добавлением разрывов строк к заголовкам "from" или другим, позволяя им устанавливать собственные вредоносные заголовки.

Например:

if (mail($to,$messageSubject,$businessBody,'From: '.$email."\r\n") && mail($email,$confirmationSubject,$confirmationBody.$body,'From: '.$to."\r\n")){

Пока вы удаляете косые черты, вы не снимаете новые строки. Если я установлю свой адрес электронной почты:

[e-mail]
Bcc: [e-mail]

жертва@example.com получает BCCed по электронной почте. С некоторыми более умными вещами - превращая их в составную электронную почту и добавляя дополнительную часть по умолчанию - они могут полностью настроить электронную почту.

Answer 2

Массовая отправка возможна, если $_POST['email']:

[e-mail],[e-mail],[e-mail]

Answer 3

Ответ @ceejayoz хороший, хотя я вижу, что вы пытаетесь запретить ОЦК и новые строки в своем коде, но только в теле письма, а не в поле письма. Это поле электронной почты является наиболее уязвимым для взлома.

Вот код, который я использовал годами для защиты поля электронной почты:

 $value = "[e-mail]";
    if (!preg_match("/^[a-z0-9!#$%&'*+\/=?^_`{|}~-]+(?:\.[a-z0-9!#$%&'*+\/=?^_`{|}~-]+)*@(?:[a-z0-9](?:[a-z0-9-]*[a-z0-9])?\.)+[a-z0-9](?:[a-z0-9-]*[a-z0-9])?$/i", $value)){
         $error[$i] = "Invalid email address.";
    }
        //Nuke email header injection.
        $submitted = $value;
        $value = str_replace('\\r', '\n', $value);
        $value = str_replace('\\n', '\n', $value);
        $value = str_replace('\r', '\n', $value);
        $value = str_replace(',', '\n', $value);
        $value = str_replace(';', '\n', $value);
        $value = str_replace(' ', '\n', $value);
        $value = explode('\n', $value);
        $value = $value[0];
        if (trim($value) !== trim($submitted)) {
            echo "Stop hacking me!";
        }
    }

Или используйте чужой класс, как говорит ceejayoz.

Кроме того, рассматривайте капчу и остальные, или ограничивая количество представлений в минуту, как еще один способ добавить несколько уровней защиты к вашему коду.