php - 邮件正文是否存在注入(inject)漏洞？

Question

据我所知，当正确使用用户数据时，电子邮件的标题中只有一个漏洞？

我正在使用下面的函数来清理我的数据，但是我在页面上有一些文本区域字段，因此这些字段可能包含换行符..所以想知道该用户数据是否只会放在电子邮件正文中, 它能不被 sanitizer 打扰吗——当然除了剥离 html 之外？

函数如下:

function is_injected($str) {

    $injections = array('(\n+)',
    '(\r+)',
    '(\t+)',
    '(%0A+)',
    '(%0D+)',
    '(%08+)',
    '(%09+)'
    );

    $inject = join('|', $injections);
    $inject = "/$inject/i";

    if (preg_match($inject,$str)) {
        return true;
    } else {
        return false;
    }

}

作为旁注，令人惊讶的是目前没有用于邮件注入(inject)/电子邮件注入(inject)的标签。

Answer 1

如果您对邮件服务器使用 native SMTP，则可能会在正文中注入(inject)。

单个 . 自身终止 SMTP 中的当前正文，因此理论上您可以让用户提供这样的输入:

some body text
.
MAIL FROM: <...>
RCPT TO: <...>
DATA
Subject: here's some spam

here's a new body

并且 SMTP 服务器可能允许第二条消息通过。

某些 SMTP 服务器可以配置为通过不允许流水线化 SMTP 命令来防止这种情况(即要求客户端在允许下一个命令之前读取响应)。