Mail Header Injection: Irgendwann lernen es alle [Sicherheitsupdate]

Im Rahmen einer Arbeit zur Sicherheit von PHP-Webanwendungen stolpere ich über immer mehr
Seiten, die sich diesem Thema – meist nebensächlich – gewittmet haben. Diese Auseinandersetzungen
mit der Sicherheit bei Webanwendungen sind sehr zu begrüßen. Jedoch weiß nicht jeder, der etwas
darüber schreibt, auch wirklich Bescheid. (Natürlich weiß ich auch nicht über alles Bescheid!)
Und wenn Halbgares ins Netz gelangt und dank einer guten
Platzierung bei Google auch von anderen ungeprüft übernommen wird, dann verschlechtert sich die
Chance auf sichere Webanwendungen mit dem Grade der Ausbreitung des unvollständigen Wissens.

Was das ist und wie es kommt, möchte ich andere erklären lassen. Hierzu meine Empfehlung:

http://www.securephpwiki.com/index.php/Email_Injection
(SecurePHP)

Und schon kommen wir zu dem, was ich zeigen wollte. Wer bei Google nach „email“ und „injection“ sucht,
trifft auf Anleitungen mit Namen wie E-Mail Injection in PHP verhindern und Sicheres Kontaktformular mit PHP – Spam verhindern.
Diese Anleitungen sind unvollständig!

Die meisten Codebeispiele prüfen nicht alle der Eingabewerte für die Funktion mail(). Hier einige Beispiele aus dem Netz:

Beispiel 1 ($_POST[‚Betreff‘] und $_POST[‚Nachricht‘] ohne Prüfung!):
[code]

[/code]

Beispiel 2 ($_POST[’subject‘] und $_POST[‚message‘] ohne Prüfung!):
[code]

[/code]

Um Mail Injection mit ziemlicher Sicherheit zu verhindern, müssen alle Eingabewerte gesäubert werden!
Hier nochmal ein Aufruf der mail()-Funktion zur Erinnerung:

[code][/code]

Nochmal, damit endlich mal alle verstehen: ALLE PARAMETER SÄUBERN! Mit einigen Tricks und unter Ausnutzung von Bugs in
manchen PHP-Versionen, können Spamer auch über den Betreff und dem E-Mail-Körper unerwünschte Sachen mit euren
Formularen anstellen.

Laut [RFC822]http://www.ietf.org/rfc/rfc0822.txt gehören im Header der E-Mail keine Zeilenumbrüche. Also weg damit. Sollten sich trotzdem – duch Bugs
oder was auch immer – Zeilenumbrüche einschmuggeln lassen, so entfernen wir Schlüsselwörter, die im Header eine Bedeutung für den Mailversand haben.
Den E-Mail-Inhalt können wir nicht von Zeilenumbrüchen säubern, sonst zerstören wir den Mailtext. Aber wir können auch
hier nach Schlüsselwörter Ausschau halten und sie entfernen. Im Link am Anfang wird vorgeführt, wie sich der komplette
E-Mail-Text unter Zuhilfenahme von Schlüsselwörter verändern lässt.

[Sicherheitsupdate 04.12.2008]: Entfernt verschachtelte Schlüsselworte.

[code]
= 2) {
/* replace until done */
while ($param_ != $filtered || !isset($filtered)) {
if (isset($filtered)) {
$param_ = $filtered;
}
$filtered = preg_replace(
„/(%0A|\\\\r|%0D|\\\\n|%00|\\\\0|%09|\\\\t|%01|%02|%03|%04|%05|“ .
„%06|%07|%08|%09|%0B|%0C|%0E|%0F|%10|%11|%12|%13)/ims“, „“, $param_);
}
}
return $param_;
}
?>
[/code]

Der zweite Parameter ist beim Säubern des E-Mailtextes auf „1“ zu setzen, damit Zeilenumbrüche und andere Sonderzeichen nicht
entfernt werden.

Und so wird die Funktion verwendet:
[code]
[/code]