Formular

[DasBlatt]

Hallo zusammen,
ich habe gerade angefangen, ein formular für meine homepage zu entwerfen. die weiterleitung auf meine e-mail adresse funktioniert mit einem .php script auch ganz gut.

nun meine frage, wie hoch ist das risiko, das jemand die daten aus dem formular auslesen kann?

und ich lese immer wieder das ich bestimmte zeichen (<,>,&,% etc.)verbieten soll, damit kein "angriff" kommt. aber ich bekomme es doch per e-mail, also kann mir doch nichts passieren oder?

Danke für die Antworten

DasBlatt

 

[Imbericle]

Kann theoretisch doch passieren, da es ja mit php erst bearbeitet wird und dann mit php abgeschickt

$Geprüfteangaben=strip_tags($_POST['wasauchimmerduempfängst'])

das obige script entfernt alle html/php tags, funzt natürlich auch mit GET/ allem anderen


MfG

 

[DasBlatt]

das html sieht folgendermaßen aus:



<form method="post" action="formular.php">
<p><b><font size="4">Anmeldeformular</font></b></p>
<p>Vorname:<br><input name="name" type="text" size="30" maxlength="30" ></p>
<p>Nachname:<br><input name="nachname" type="text" size="30" maxlength="30"></p>
<p>Appartment:</p>
<p><select name="kreditkartenart0" size="1">
<option>M 1</option>
<option>M 2</option>
<option>Do</option>
<option>Beach</option>
</select></p>
<p>Besuchszeit (bitte aus der Buchungsbestätigung übernehmen)</p>
<p><input name="nachname0" type="text" size="5" maxlength="2" value=Tag>
<input name="nachname1" type="text" size="6" maxlength="2" value=Monat>
<input name="nachname2" type="text" size="6" maxlength="4" value=Jahr>
bis <input name="nachname3" type="text" size="6" maxlength="2" value=Tag>
<input name="nachname4" type="text" size="6" maxlength="2" value=Monat>
<input name="nachname5" type="text" size="6" maxlength="4" value=Jahr></p>
<p>Kreditkartenart</p>
<p>&nbsp;<select name="kreditkartenart" size="1">
<option>Karte 1</option>
<option>Karte 2</option>
<option>Karte 3</option>
<option>Karte 4</option>
<option>Karte 5</option>
</select>
</p>
<value =value.replace(/,/, ".");></value>
<p>Kreditkartennummer:<br><input Type="text" type= 0-9 name="name1" size="10" maxlength="4"><input name="name2" type=text size="10" maxlength="4">
<input name="name3" type=text size="10" maxlength="4"><input name="name4" type=text size="10" maxlength="4"></p>
<p>Prüfnummer</p>
<p><input Type="text" type= 0-9 name="name5" size="5" maxlength="3"></p>
<p>Ich akzeptiere die AGB´s</p>
<p></p>
<input type="submit" name="button" value="Ja"> <input type="reset" name="button1" value="Nein">
</form>
</form>
</html>

und mein php script ist dieses

<?PHP
$text = "Name: $_POST[name]"."\n"."Nachname: $_POST[nachname]"."\n"."Kreditkartenart: $_POST[kreditkartenart]"."\n"."Kreditkartennummer: $_POST[name1]"."\n"."$_POST[name2]"."\n"."$_POST[name3]"."\n"."$_POST[name4]"."\n"."$_POST[ja]"."\n"."$_POST[nein]";
mail("[email protected]","Email per Formular",$text);
?>

was muss ich wo veränder, das es sicher ist?
P.S. Es werden noch nicht alle Felder überragen in der e-mail.

Die html und die php datei liegen beide bei mir auf dem webserve im root verzeichniss.

DasBlatt

 

[Imbericle]

Bist du des Lesens mächtig?
Alles was du empfängst, in deinem Falle Benutzereingaben, solltest du mit der Methode

strip_tags()

prüfen, wenn du es nicht verstehst, dann sag bitte genauer was du daran nicht verstehst.


MfG

 

[DasBlatt]

Also ich verstehe das ganze einmal so.

$text =
strip_tags("Name: $_POST[name]")
strip_tags(."\n"."Nachname: $_POST[nachname]")
strip_tags(."\n"."Kreditkartenart: $_POST[kreditkartenart]")
strip_tags(."\n"."Kreditkartennummer: $_POST[name1]")
strip_tags(."\n"."$_POST[name2]")
strip_tags(."\n"."$_POST[name3]")
strip_tags(."\n"."$_POST[name4]")
strip_tags(."\n"."$_POST[ja]")
strip_tags(."\n"."$_POST[nein]");
mail("[email protected]","Email per Formular",$text);

Also sollte es so funktionieen. Oder muss ich die Klammern anderst setzen?

 

[Imbericle]

warum prüfst du deine eigenenen Angaben auf Striptag? Das ist unnötig und nicht valide.

So dürfte es gut sein:

$text =
"Name:" . strip_tags($_POST[name])
. "\n"."Nachname" . strip_tags($_POST[nachname])
etc... ;

So dürfte es gut sein

 

[DasBlatt]

also es hat soweit alles wunderbar funktioniert. Danke einmal dafür.

Wie sicher ist denn die Übertragung dieser Daten?
Kann jeder der möchte ohne Probleme ein Formular auslesen?

Wenn ja, was kann man dagegen denn unternehmen?

 

[Imbericle]

99% sicher. So sicher, dass du sie nicht sicherer machen kannst, zumindest nicht als Normalsterblicher.

 

[DasBlatt]

ich lese immer wieder vonder ssl verschlüsselung. was hat es denn damit aufsich? oder bezieht sich das nur auf die daten die in einer datenbank auf dem server gespeichert werden?