Аналог php функции mail()

[apexis]

Пришло сообщение в админку сайта о рассылке 500 сообщений с сервера хостинга. Мне сказали, что с помощью функции mail(), которую я использую в форме обратной связи, можно рассылать спам. Как можно заменить функцию mail() или обезопасить форму обратной связи?

[Zippovich]

капча

[SelenIT]

http://phpfaq.ru/mail#inj

[apexis]

  On 4/13/2013 at 12:11 PM, SelenIT said:

http://phpfaq.ru/mail#inj

Из статьи я понял, что все $_POST должны быть только в $body, как в коде ниже, и этого будет достаточно.

$header ="Content-Type: text/html; charset=windows-1251\n";
$body = '<br />ФИО: '.$_POST['name'].'<br />Телефон: '.$_POST['phone'].'<br />E-mail:'.$_POST['email'].'<br />Сообщение:'.$_POST['message'];
$to = 'a@mail.ru';
$subject = 'Сообщение';
mail ($to,$subject,$body,$header);

Правильно?

Edited April 13, 2013 by apexis

[Zippovich]

почему люди меня не слушают?

на Вашу форму натравили робота, поставьте капчу, это решит проблему.

[moron]

  On 4/13/2013 at 11:34 AM, Zippovich said:

капча

Походу тут более глубокая проблема: почему через форму обратной связи, которая по логике, должна слать письма только на определенные ящики, можно спамить широкому кругу людей? Можно конечно поставить капчу, но куда логичнее было бы изменить сам код...

[Zippovich]

Может так оно и есть.

[apexis]

  On 4/13/2013 at 11:34 AM, Zippovich said:

капча

Капча мне не нравиться из-за того что нужно заполнять лишнее поле и не всегда вводишь правильные символы с первого раза. К тому же, роботы и её умеют обходить.

[sitemaker999]

wwt, ну почему ты убегаешь

извините, это я одного ловлю по всему форуму

Edited April 14, 2013 by sitemaker999

[wwt]

  On 4/14/2013 at 11:30 AM, sitemaker999 said:

wwt, ну почему ты убегаешь

извините, это я одного ловлю по всему форуму

не стоит флудить во всех темах, если у вас есть какой-то конкретный вопрос к кому то просто напишите ему в ЛС, а то как то не удобно даже )

[rus]

1) как уже написали выше, все данные введенные в форму юзером - необходимо проверять на корректность.

2) установить таймаут между отправленными сообщениями на ...n время для одного и того же юзера, т.е. для одной и той же сессии.

[SelenIT]

  On 4/13/2013 at 2:09 PM, apexis said:

Из статьи я понял, что все $_POST должны быть только в $body,

Да, главная мысль такая. Нельзя, чтобы «сырые» пользовательские данные использовались в SMTP-заголовках (напр. обратном адресе, не говоря уже об адресе получателя).

[apexis]

Еще такой вопрос. В форме указан мой e-mail. Как его защитить от спам-ботов?

[wwt]

Вставляйте его на стороне сервера статически не используя данные полученные с клиентской стороны.

[apexis]

  On 4/15/2013 at 8:07 AM, wwt said:

Вставляйте его на стороне сервера статически не используя данные полученные с клиентской стороны.

Можно пример?

[Zippovich]

mail('to@my-email.com', ...);

[apexis]

  On 4/15/2013 at 7:36 PM, Zippovich said:

mail('to@my-email.com', ...);

А разве есть разница, e-mail в переменной или в mail()?

Edited April 16, 2013 by apexis

[Kelin]

  On 4/16/2013 at 8:07 AM, apexis said:

  On 4/15/2013 at 7:36 PM, Zippovich said:

mail('to@my-email.com', ...);

А разве есть разница, e-mail в переменной или в mail()?

Конечно, есть. Значение переменной e-mail можно изменить, что и делали спам-боты.

[SelenIT]

В переменную можно засунуть что-нибудь типа "me@here.com\r\nTo: you@there.net\r\n...\r\nTo: somebody-else@somewhere.org", т.е. огромный список адресатов вместо одного.

[apexis]

Ясно, спасибо за советы