Forum PHP.pl > [PHP]bezpieczny formularz kontaktowy w PHP

Pomoc - Szukaj - Użytkownicy - Kalendarz

Pełna wersja: [PHP]bezpieczny formularz kontaktowy w PHP

gariz

8.01.2010, 14:46:13

ostatnimi czasy hosting wylaczyl mi strone bo frmularz kontaktowy byl lakomym kaskiem dla spamerow i z mojego konta zaczely wychodzic spamerskie maile.

kod pobralem ze strony http://www.kess.snug.pl/?sid=10&pid=17

niestety w zaistnialej sytuacji musze z niego zrezygnowac - czy mozecie mi pomoc w znalezieniu biblioteki ktora bylaby odporniejsza na w/w ataki??
na coderscity.pl dowiedzialem sie juz ze najlepiej zeby byl to czysty php lub php+mysql

znalazlem cos takiego http://swiftmailer.org/ ale nie moge sobie z nim poradzic ;/ moze jakis prostszy bylby ok??

MateuszS

8.01.2010, 14:57:23

Zastosuj CAPTCHA i filtruj zmienne z formularza

Brick

8.01.2010, 16:38:38

Czyli inaczej mówiąc zastosuj opcję "przepisz kod z obrazka".
Nie podam ci tu żadnego gotowca bo takiego nie używam w tym przypadku. Możesz sam zrobić ten formularz, nie jest to takie trudne.
PHP + MySQL jest potrzebne.

Idea w skrócie:
1. Do formularza dodajesz obrazek generowany przez php oraz pole do wpisania kodu.
2. W skrypcie wyświetlającym obrazek generujesz losowy ciąg kilku znaków. Zapisujesz go do bazy danych i wyświetlasz w obrazku
3. Po wysłaniu formularza porównujesz wpisany kod z tym który masz w bazie. Jeżeli jest poprawny wysyłasz e-mail. Jeżeli nie to piszesz komunikat odpowiedni i nie wysyłasz e-maila.
4. Po każdym wysłaniu formularza (nie emaila tylko kliknięciu "Wyślij") kasujesz kod z bazy i generujesz nowy.

bełdzio

8.01.2010, 21:06:28

fajnie podatny na email injection jest podany przez Ciebie skrypt

looknij na to => http://www.beldzio.com/mail-injection

gariz

9.01.2010, 11:00:47

dzieki.

a co powiecie o takim zestawie??

[PHP] pobierz, plaintext 
<?php header('Content-type: text/html; charset=ISO-8859-2');?>
<?php
require("phpmailer/class.phpmailer.php");
//$adres=$_POST['adres'];
$tresc = $_POST['tresc'];
$nick = $_POST['nick'];
$tel = $_POST['tel'];
$kontakt = $_POST['kontakt'];
$mail = new PHPMailer();
 
$mail->IsSMTP();     
//tu zmie_                                 // set mailer to use SMTP
$mail->Host = "mail.hhh.com";    // tutaj wpisujesz adres do serwera smtp
$mail->SMTPAuth = true;     // turn on SMTP authentication
 
$mail->Username = "www@nus.com";         // SMTP username
$mail->Password = "yyyy";       // SMTP password
 
$mail->From = "www@jjjnus.com";           //tutaj adres meilowy
$mail->FromName = "www";         //_e od kogo ma by_ ten mail
//$mail->AddAddress($adres);         //do kogo ma by_ wys_any pobiera z formularza
$mail->AddAddress("garizzz@hh.com");                  // name is optional
$mail->AddReplyTo($kontakt);
//$mail->AddReplyTo("info@example.com");
/*
$mail->WordWrap = 50;                                 // set word wrap to 50 characters
$mail->AddAttachment("/var/tmp/file.tar.gz");         // add attachments
$mail->AddAttachment("/tmp/image.jpg", "new.jpg");    // optional name
*/
$mail->IsHTML(true);                                  // set email format to HTML
 
$mail->Subject = "Kontakt ze strony www";        //temat meila
$mail->Body    = $nick . " napisał: <br>" . $tresc . "<br>Dane kontaktowe:<br>" . "Adres mailowy: " . $kontakt . "<br>Telefon: " . $tel;        //tres_ meila pobiera tak_e z formularza
$mail->AltBody = "Wiadomość jest w formacie HTML - Twój klient poczty nie potrafi jej wyświetlić.";
 
//{ Wype_nij wszystkie pola formularza!
//   echo "Message could not be sent. <p>";
//   echo "Mailer Error: " . $mail->ErrorInfo;
//   exit;
//}
 
if (!empty($_POST['tresc']) && !empty($_POST['kontakt']) && !empty($_POST['tel'])) {
if(!$mail->Send())
{echo '<div id="error">Wysłanie wiadomości niemożliwe</div>' . $mail->ErrorInfo; exit;}
echo '<div id="ok">Wiadomość została wysłana poprawnie!</div>';}
else echo '<div id="error">Wypełnij wszystkie pola formularza!</div>';
?>
[PHP] pobierz, plaintext

i formularz

[PHP] pobierz, plaintext 
<!--<body>
<form action="sent.php" method="post">
<input type="text" name="adres" value="tutaj adres"><br>
<textarea type="text" name="tresc" value="tresc listu"></textarea><br>
<input type="submit" value="wyslij"></form>-->
 
 
<form action="skrypty/sent.php" method="POST">
<b>Tre__ wiadomo_ci</b><br>
<textarea name="tresc" style="width: 250px; height: 100px"></textarea>
 
<b>Imi_, nazwisko lub nick</b><br>
<input type="text" name="nick" size=40>
 
<p><b>Twoj adres e-mail</b><br>
<input type="text" name="kontakt" size=40>
 
<p><b>Twój numer telefonu (opcja)</b><br>
<input type="text" name="tel" style="width: 250px">
 
<p><input type="submit" value=" Wy_lij ">
<input type="reset" value=" Od nowa "></td>
</form>
[PHP] pobierz, plaintext

moglbym prosic o wypowiedz co do bezpieczenstwa tego skryptu na bazie phpmailer/class.phpmailer.php??

i jeszcze takie jedno pytanko - komunikat wyslano czy nie wyslano maila pojawia sie na nowej czystej stronie. jak zrobic zeby komunikat pojawil sie we wnetrzu strony. formularz jest osadzony wewnatrz strony przez INCLUDE. Poprzedni niebezpieczny skrypt wyswietlal komunikat bez odswiezania calej strony przez co informacja byla widoczna i osadzona zgodnie z skorka strony.

Misiek92

9.01.2010, 11:17:05

Zastosuj ReCaptcha

http://recaptcha.net/

gariz

9.01.2010, 12:36:27

Cytat(Misiek92 @ 9.01.2010, 12:17:05 )

Zastosuj ReCaptcha

http://recaptcha.net/

fajne tylko kurcze wolalbym uniknac takiego widgeta na stronie bo zbyt zwraca na siebie uwage ;/
mógłbym prosic o sprawdzenie tego mojego nowego mixu na okolicznosc email injection

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.