nicht angemeldet
Hi,
Ich such immer nach Adressen von denen ich aus Mails in
den Namen und von dem Host anderer Leute absenden kann.
Wäre ich ein SPAM-Versender wäre ich natürlich auch daran interessiert.
Du weisst doch gar nicht, wie der sendmail-Teil von Christophs Script funktioniert!? Wenn das Script die Daten fest verdrahtet an Christophs
Doch, ich weiss es und deswegen ist es auch nicht voreilig.
Begründung:
Er schrieb "Formmail".
Es gibt ein sehr verbreitetes formmail-Skript, welches entweder genau
das von Matt Wright ist, oder dessen Nachfolger.
Inzwischen wurde es soweit verbessert, dass es keine Probleme mit dem Filelocking mehr gibt. Jedoch wurde auch in den neuen Version
nicht darauf geachtet, dass man über den Direktaufruf als Fremder
immer noch die Parameter selbst vorgeben kann.
Ich kann daher davon ausgehen, dass es sich um genau das Skript handelt
Zumal in den angegebenen HTML-Source ja auch in den
Hidden Fields die Absendeadresse angegeben werden und genau dies als Problem genannt wurde, das eine falsche Adresse genutzt werden kann.
Somit hab ich genug Informationen um darauf zu schliessen, um welches Skript es sich handelt und damit weiss ich auch, wie man es missbrauchen kann.
Ungefähr so:
/cgi-bin/formmail.pl?absender_mail=bill@gates.com&absender_name=Bill+Gates&subject=SPAM&body=blabla+blabla
Warum ich so allergisch reagiere:
In letzter Zeit melden meine Server-Überwachungen tatsächlich den geziehlten Versuch von SPAMern eine solche URL auf meine Server aufzurufen um wirkliche Mails zu versenden.
Ciao,
Wolfgang