Spam Injection attack

Spam Injection attack postato il 27/02/2009 10:31:36 nel forum programmazione, gdrcd, open source, hosting

In questi giorni mi sono imbattuto in un tipo di attacco che, ammetto, di non conoscere. Ossia un Spam Injection attack. Dopo aver letto dei log ho cominciato a cercare un po' su internet(stasera che sono a casa darò uno sguardo anche ai vari manuali) per vedere se vi è qualche spiegazione di questo tipo di attacco e, se devo essere sincero, ho capito ben poco. Quello che ho compreso è che una debolezza di PHP per cui si può, attraverso una form, inserendo una determinata sequenza di caratteri inserire un header di una mail e di conseguenza generare l'exploit.

Ho capito male? Ho capito bene?
C'è qualcuno che saprebbe approfondirmi il problema? Chiarirmi l'attacco, come viene effettuato e magari in quale modo prevenire? :)
Ed, in questo caso, chiarirlo anche ad altri che come me sono totalmente ignoranti di questo argomento :D

Grasie in anticipo a chi mi chiarirà le idee

nb: faccio presente che non è un bombardamento di Mail ma proprio l'inserimento di un messaggio dentro ad una form che, lato php, NON usa la funzione per l'invio di mail =P

ps: ovviamente i dati verranno filtrati togliendo i backslash generati da eventuali magic_quote e poi rimettendoli con la funzione mysql_real_escape_string con una aggiunta di un preg_replace del carattere @ che la funzione precedente non considera :D

You ask for pity? You demand mercy? I have only Justice.
Incoming...

quota

Pagine → 1

tdl - staff

SCRIVI

27/02/2009 10:39:17

http://it.wikipedia.org/wiki/Cross-site_scripting ↗

» Whinare «
- Community Italiana su World of Warcraft -

www.tanadelladro.com
staff@tanadelladro.com

quota

rhllor

SCRIVI

27/02/2009 10:43:45 e modificato da rhllor il 27/02/2009 11:08:11

Mi ero dimenticato:
Ovviamente prima di essere stampato a video viene anche rimossa la possibilità di inserimento di codice html con la classica funzione htmlspecialchars() =P

Provo a sostituirla con htmlentities con clausola entquotes va :)

You ask for pity? You demand mercy? I have only Justice.
Incoming...

quota

rhllor

SCRIVI

27/02/2009 16:09:39 e modificato da rhllor il 27/02/2009 16:42:01

Ok, gira che ti rigira son riuscito a capire, più o meno, l'argomento e trattarlo. Ovviamente se qualcuno ne capisce di più è invitato a discutere e correggere eventuali miei errori o imprecisioni.

Il problema, generalmente, ricade sui form utilizzati per l'invio di mail. Utilizzando i caratteri di fine riga ( r n ) è possibile generare degli Header/Parametri aggiuntivi a quelli che noi abbiamo settato alle nostre email. Anche partendo dalle variabili che verranno utilizzate per inserire una il destinatario o il testo della mail.

La funzione mail()http://it.php.net/manual/it/function.mail.php ↗ non si preoccupa di controllare i dati passati ma si limita ad assemblarli per poi spedirli.

Poniamo ad esempio di avere una formmail che richiede tre parametri:
Email Destinatario, Titolo, Testo.
All'interno del parametro titolo potrei inserire un testo del genere:
"invio mail r n
Bcc: pippo@topolonia.it; pluto@topolonia.it; paperino@topolonia.it"
Questo generebbe l'invio della mail non al solo destinatario ma, anche, alle tre mail messe in copia nascosta in quanto abbiamo appena aggiunto un parametro in più alla mail.

Come risolvere questo problema:
Innanzitutto dobbiamo filtrare tutte e tre i parametri.
Per quanto riguarda il parametro della mail possiamo utilizzare il seguente controllo

if (!eregi("^[a-z0-9][_.a-z0-9-]+@([a-z0-9][0-9a-z-]+.)+([a-z]{2,4})", $email)) {
echo "Indirizzo email NON valido";

} else {
echo "Indirizzo email valido";
}

Che controlla che la mail sia formattata in modo corretto(io personalmente la uso in tutte le form dove bisogna inserire una mail).

Per i rimanenti due campi, a questo punto, non ci resta che filtrare i caratteri r n

Bisogna porre molta attenzione a questo genere di attacco in quanto si potrebbe usare la form come trampolino di lancio per generare l'invio di migliaia di mail di spam.

Questo è quello che ho capito =P correggetemi se sbaglio.
Il dubbio mi rimane perchè a me quell'errore me l'ha segnato in una form che fa solo un insert e nessun invio di mail xD probabilmente mi hanno usato la stessa sintassi ed il server, per sicurezza, si è chiuso =P

EDIT: ovviamente i caratteri r n vanno accoppiati con dei backslash che il forum mi toglie.

You ask for pity? You demand mercy? I have only Justice.
Incoming...

quota

Discussione seguita da › rhllor

Pagine → 1

Rispondi alla Discussione Aggiungi ai Preferiti Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum