Sicherheitsproblem mit Bestätigungsseite vom Kontaktformular

[Daniel 2014]

Ich habe folgendes Problem:
Wenn das Kontaktformular richtig ausgefüllt wurde werden die Daten in eine SQL Datenbank geschrieben sowie eine generierte Formatierte E-Mail mit den Daten an die betreffende Person geschickt.

Zusätzlich werden der Person auf einer Bestätigungsseite nochmal die zuletzt in die SQL Datenbank eingegebenen Daten angezeigt. (Die Daten werden von der Bestätigungsseite aus der SQL Datenbank ausgelesen und angezeigt)

Theoretisch können also öffentlich zu jeder Zeit die zuletzt eingegebenen Daten über die Bestätigungsseite Angezeigt werden.

Dazu kommt noch das die Bestätigungsseite in Google gelistet wird. Bei dem Google Problem weiß ich selber was ich tun muss bei dem anderen nicht.

Wer kann mir mit einer guten Lösung des Problems helfen?

Hallo :)

also einmal könntest Du während des Speicherns die IP mitspeichern (als Hash o.ä. denn IP's speichern ist ja eig. nicht erlaubt). Und dann nur für eine gewisse Zeit, sagen wir 30 Minuten, dieser IP Zugriff auf die Bestätigungsseite gewähren bzw. nur den Datensatz der IP anzeigen lassen.

Du könntest auch einbauen, dass der Zugriff auf die Bestätigungsseite nur ein einziges Mal möglich ist.

Eigentlich genügt es doch, dem Benutzer die übermittelten Datenper eMail als Kopie zukommen zu lassen - oder?

Falls es unbedingt eine Bestätigungsseite geben muss, würde ich einfach die Session ID benutzen. Also ich gehe davon aus das Deine URL der Bestätigungsseite irgendeinen "Marker" enthält - im schlimmsten Fall sogar die ID der gespeicherten Daten - also quasi so: http://www.domain.de/kontakt/bestaetigung?id=1337

Stattdessen würde ich in der SQL DB die aktuelle SID mitspeichern und auf der Seite http://www.domain.de/kontakt/bestaetigung einfach die Daten anhand der SID abfragen und das für maximal 1 Stunde (3600 Sekunden) - danach sind die Daten dann logischerweise ungültig und im besten Fall auch aus der DB wieder verschwunden :) DAtenschutz und so ;)

Hoffe ich konnte helfen.

[Ckaos]

Hi,

also die Bestätigungsseite sollte nur die letzten Daten anzeigen sofern sie durch
durch die Kontaktseite aufgerufen wurde.
Erreichen kann man das auf folgende Arten:
- POST/GET Formulardaten sind mit den der DB identisch
- Hidden POST/GET Feld mit timestamp nicht älter als 10-60 Sekunden (länger sollte
der Aufruf zwischen den Seiten nicht dauern ;))
- SESSION/Cookie Parameter einbeziehen (SESSION muss bestimmten Wert enthalten)
- REFERER muss Kontaktformular sein
- per Bild (Bildname=Hash der IP/timestamp = PHP-Script welches HTTP_IF_MODIFIED_SINCE prüft 10-60 Sekunden)

Gibt bestimmt noch mehr Varianten, aber eine dieser sollte dir reichen.

MfG

CKaos

[meikel (†)]

Zitat von gino.d

Eigentlich genügt es doch, dem Benutzer die übermittelten Datenper eMail als Kopie zukommen zu lassen - oder?

Böse Falle. Sowas nutzen Spambots gern aus. Dann reicht ein Scriptfehler aus und das Teil wird zur SPAM-Schleuder.

Üblicher Fehler und die dämliche mail() Funktion:
die Strings für den Header (Absender, Betreff) dürfen keine Zeilenumbrüche enthalten. Wird das nicht ausgeschlossen, kann der Angreifer über diese Lücke seine eigenen Header injizieren. Das wäre dann ein Sack voll BBC:, ein toller Betreff, eine Leerzeile als Headerende, der Spamtext. Das dabei der urspüngliche header + Text dem Spamtext folgt, interessiert den Spambot nicht. Wenn er pfiffig ist, baut er nach seinem Text ne Signaturkennung ein - schon wird der Rest vom Emailprogramm nicht mehr angezeigt.