电子邮件注入w / Out标头？ [英] Email Injection w/ Out Header?

问题描述

您好，

垃圾邮件发送者显然是在我的表单上使用电子邮件注入，但是我的我认为电子邮件注入需要主页填充header参数
$ b mail（）中的$ b，我没有使用该参数。我的邮件看起来像是：


邮件（$ to，$ subj，$ body）


那么垃圾邮件发送者如何得到我？ mail（）是否转换为原始的
流，以便标题可以插入到正文中，或者是否有一些可以被利用的缓冲区溢出？由于我使用的是动态的

变量，我无法看到它会如何发生，但那时我不是PHP

expert。


任何帮助将不胜感激。我知道加强输入

验证应该处理这个，但我想了解

垃圾邮件发送者正在做什么，所以我可以重现并验证这个修复。


提前致谢。

Hello,
A spammer is apparently using email injection on my form, however my I
thought email injection requires mainpulation of the headers parameter
in mail() and I''m not using that parameter. My mail call looks like:

mail($to,$subj,$body)

So how is the spammer getting me? Is mail() translating to a raw
stream so that headers can be inserted in the body, or is there some
kind of buffer overflow that can be exploited? Since I''m using dynamic
variables, I can''t see how this would occur, but then I''m no PHP
expert.

Any help would be greatly appreciated. I know beefing up input
validation should take care of this, but I want to understand what the
spammer is doing so I can reproduce and validate this fix.

Thanks in advance.

推荐答案

to，

subj，

body）


那么垃圾邮件发送者如何得到我？ mail（）是否转换为原始的
流，以便标题可以插入到正文中，或者是否有一些可以被利用的缓冲区溢出？由于我使用的是动态的

变量，我无法看到它会如何发生，但那时我不是PHP

expert。


任何帮助将不胜感激。我知道加强输入

验证应该处理这个，但我想了解

垃圾邮件发送者正在做什么，所以我可以重现并验证这个修复。


提前致谢。

body)

So how is the spammer getting me? Is mail() translating to a raw
stream so that headers can be inserted in the body, or is there some
kind of buffer overflow that can be exploited? Since I''m using dynamic
variables, I can''t see how this would occur, but then I''m no PHP
expert.

Any help would be greatly appreciated. I know beefing up input
validation should take care of this, but I want to understand what the
spammer is doing so I can reproduce and validate this fix.

Thanks in advance.

这篇关于电子邮件注入w / Out标头？的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！