nicht angemeldet
Ich habe bei Wiki etwas über E-Mail-Injektion gelesen
und dort wird geschrieben, daß die einzig wirksame Maßnahme das
Unterbinden von Zeilenumbrüchen in Variablen ist, die später in den Header der E-Mail eingefügt werden sollen.
http://de.wikipedia.org/wiki/Email_Injection
1.Frage: Wie macht man diese Unterbindung?
Durch Filtern.
2.Frage: Gibt es noch andere Angriffs-Szenarien in einem php-
Formular?
Du solltest natürlich im PHP-Code alles (die erhaltenen Formularwerte) im Griff haben und bspw. die Empfängeraddressen nur serverseitig halten bzw. fleissig prüfen.
Ansonsten, ja, PHP scheint nicht ganz sicher zu sein:
http://blog.php-security.org/
http://www.heise.de/newsticker/meldung/82467
"Sobald man die Sicherheit von PHP kritisiere, werde man im Security Team selbst zur "Persona non Grata". Zudem würden viele seiner Vorschläge ignoriert, weil die Entwickler behaupten, Essers Wortwahl sei zu unfreundlich." - alarmierend