Могут ли взломать сайт через форму отправки сообщений?

Question

[Дамир Габдрахимов]

Добрый день, могут ли взломать сайт через форму отправки сообщений, форма с базой данных не связана, работает только с функцией mail()

Интересует, если данные из формы не проходят фильтрацию и не валидированы, могут и взломать мой сайт, получить доступ к FTP и т.д.

Форма простая принимает "имя" и "телефон".

Спасибо!

Comments

[Дмитрий Лузанов]

Чтобы дать ответ на этот воспрос нужно больше данных о вашем сайте.
P.S. Взломать можно все.

[Дамир Габдрахимов]

Predve4niy: обычный сайт лендинг, с одной лишь формой которая просит "имя" и "телефон", просто про валидацию и защиту форм отправки сообщений через функцию mail, инфы мало, поэтому как бы она у меня никак не "защищена"

[megorit]

Predve4niy: не все

[Алексей Зуйков]

Думаю ваш проблему решит скрипт убирающий из переменной формы спецсимволы реплейсом, перед тем как отправлять данные. Может быть вам ещё стоит копнуть в сторону защиты от CSRF и XSS.

Answer 1

[rPman]

Не фильтрованный ввод - это значит потенциальный css, это значит могут получить куки, в т.ч. администратора, если подсунуть ему ссылку с этим css (он должен по ней перейти, но обычно это не сложно, социальная инженерия очень хорошо работает), а дальше, имея пароль администратора обычно можно гораздо больше, и без взлома.

p.s. проверьте, что произойдет, если данные формы отправить в виде GET запроса, а не POST.

Comments

[Дмитрий Лузанов]

Может xss?

[Дамир Габдрахимов]

спасибо, какие функции отвечают за фильтрацию?

[rPman]

cross site scrypting, конечно XSS, постоянно путаю.

Answer 2

[CityCat4]

Если данные не валидируются, то могут. Однажды, давно-давно, уже и архива нет, у нас так было - была страничка с демкой продукта, висела и висела...

Скорее всего получат права юзера www (ну или под кем там у Вас вебсервер стартует), для системы это не фатально, но неприятно.

Comments

[Дамир Габдрахимов]

спасибо, какие функции PHP отвечают за валидацию?

[DVamp1r3]

filter_* либо preg_*

Answer 3

[kpa6uu]

Относительно недавно в паблик утёк экспойт, связанный с php-mailer
https://legalhackers.com/advisories/PHPMailer-Expl...

Может пригодится