Variabili/escape di variabili nel corpo della posta

Question

Mi sento un po 'imbarazzante, perché sto generando un corpo di posta con PHP senza sfuggire alle variabili. In HTML sto usando htmlspecialchars() o funzioni simili, per le righe di comando escapeshellarg(), ma per le e-mail? Per esempio qualcosa di simile:

<?php 
$usercontent = $_GET['usercontent']; 
mail("dummy@nowhere.tld", "My Subject", "My body with $usercontent included"); 
?> 

Cosa potrebbe un possibile aggressore che fare con uno script come quello di cui sopra e come avrei potuto proteggere da un attacco del genere? O è PHP mail() salvare e perché?

Aggiornamento

Si prega di vedere l'esempio:

• il corpo è influenzato solo (nessuna intestazione!)
• Content-Type è text/plain
• qualche prova al risposta sarebbe carino
• MTA è un sendmail postfix con "/ usr/sbin/sendmail -t -i"

Answer 1

Non è protetto contro XSS atack perché se la tua posta contiene HTML qualcuno può iniettarlo nella posta.

Il buon comportamento è verificare e dati validi che si prevede di avere. Se fossi in te, sfuggirei a questa stringa. Non costa nulla e non devi preoccuparti delle conseguenze del non utilizzo.

Answer 2

Buona domanda. Non credo che sia necessario sfuggire al testo del corpo, ma so che è possibile aggiungere intestazioni a una posta (come un BCC a migliaia di indirizzi) se si consente all'utente di inserire un indirizzo. Quindi, se si inseriscono delle variabili, verificare definitivamente le nuove righe (\n e \r) per assicurarsi che non vengano aggiunte intestazioni aggiuntive.

Answer 3

Il corpo del messaggio di posta elettronica di base è testo normale. Se si desidera un tipo diverso come HTML o un messaggio a più parti, è necessario utilizzare l'estensione MIME e specificare il tipo di conseguenza utilizzando Content-Type (ad esempio text/html per HTML o per un messaggio composto da più parti).

Quindi dal punto di vista della sicurezza, non c'è modo di iniettare qualcosa di dannoso (almeno non secondo le specifiche). Anche i caratteri non ASCII devono essere gestiti correttamente nonostante la mancata dichiarazione della codifica dei caratteri utilizzati.

Tuttavia, ci possono ancora essere alcuni difetti nei client di posta elettronica che possono essere sfruttati in questo modo. Ma ne dubito.

Answer 4

Pensate al corpo dell'email in questo modo: "Destinazione top secret della missione sconosciuta". Potremmo non sapere che tipo di client leggerà il messaggio, ma possiamo supporre che non vogliamo che l'HTML live, fornito dall'utente, senza caratteri di escape, venga visualizzato in esso. Dal momento che molti clienti leggono la posta in HTML, la cosa migliore da fare sarebbe il htmlentities() il corpo della e-mail fornito dall'utente.

Un metodo dalla mia classe escaper.

<?php 
class escaper 
{ 
    public function superHtmlEntities($string) 
    { 
     return htmlentities($string, ENT_QUOTES | ENT_HTML5, 'UTF-8', true); 
    } 
} 
?> 

========================================

Come minimo, prendi in considerazione qualcosa come questo e altro come fai la tua ricerca.

<?php 
$esc = new Escaper(); 

$usercontent = $_GET['usercontent']; 
mail("dummy@nowhere.tld", "My Subject", $esc->superHtmlEntities("My body with $usercontent included")); 
?>