[Update II] SPAM durch Kontaktformular
Ein Kunden fragte mich heute ob der SPAM-Filter auf dem Mailserver defekt sei, denn es kaeme soviel SPAM durch. Ein Blick in die Mailserver Logs zeigte aber, das alles ok ist. Beim genaueren Hinsehen fiel mir dann auf, dass die Mails fuer die Kunden-Domain alle von 1&1 kamen (kundenserver.de) und "cgi-mailer" in der Message-ID hatten. Ein Blick auf die Homepage des Kunden verschaffte mir dann Klarheit.
Die Webdesignerin, die die Webseite fuer den Kunden gebaut hat, hat auch ein Form-Mailer Script als Kontaktformular eingebaut. Leider ueberprueft das Script den uebergebenen Inhalt nicht. Das einzige was es macht... es bricht ab, wenn man per GET und nicht per POST sendet. Noch schlimmer ist allerdings, dass man per HTTP POST Request auch noch die Absender- sowie die Empfaenger Emailadresse variabel uebergeben kann (auch mehrere, getrennt durch Kommata). Da der Kunde bei mir kein CGI hat, hat die Webdesignerin das Script auf Ihren Webspace bei 1&1 gelegt (leider ohne Referer-Ueberpruefung oder dergl.). Ich hab' dann mal kurz in den Quellcode der Seite geschaut und die FORM-Felder rausgeholt die interessant sind und mal schnell den folgenden Einzeiler mit cURL gebaut:
QUOTE:
curl -d subject=Foobasa -d empfaenger=empfaenger1@domain.tld,empfaenger2@domain.tld -d return=http://www.microsoft.com -d Bemerkung=Es%20lebe%20der%20SPAM -d Absenden=Absenden -d 'E-Mail=absender@domain.tld' -vvv 'http://www.domain.tld/mailer.php'
Mal gucken ob die Webdesignerin auf meine Mail mit der Anfrage das bitte unverzueglich zu korregieren reagiert. Falls nicht, muss ich wohl mal 1&1 darauf hinweisen.
Update: Ich habe gerade eine Antwortmail von der Webdesignerin bekommen. Sie habe das Script vorerst offline genommen. Das nenne ich mal prompte und vorbildliche Reaktion.
Update II: Tja, zu frueh gelobt. Hab gerade versehentlich mit Ctrl-R den cURL Einzeiler nochmal ausgefuehrt und er funktioniert immernoch. Also war die Reaktion lt. Mail zwar vorbildlich- aber in der Praxis ist hier nichts passiert. Ich habe das ganze jetzt mal an 1&1 weitergegeben- verarschen kann ich mich naemlich selber.
