ExBB Community ExBB Community
 Сайт проекта ExBB Общение объединяет!
Войдите на форум при помощиВойти через loginza
 Чат на форуме      Помощь      Поиск      Пользователи     BanList BanList


 Страниц (2): « 1 [2]   

> Без описания
igrok54
Отправлено: 27 октября 2011 — 01:02
Post Id



Пользователь
Advanced Member


Покинул форум
Сообщений всего: 470
Дата рег-ции: Янв. 2010  
Откуда: Пермь
Репутация: 57




BON пишет:
igrok54, если как ты говоришь любое письмо, то тогда в этом письме можно будет отослать любой джава скрипт который выполнится при прочтении письма. ТАк же получается?

Да я именно об этом и говорю. Получается любой же зарегенный юзер имеет право отправить через форум другому юзеру письмо, содержащее html-код, который может быть вредоносным. А потом все шишки админу сайта, через который заслали...

Надо какой-то фильтр добавить, проверку, на то, что в данном типе писем разрешен html.

Можно добавить еще один параметр при отправке письма (их было 5, добавляем шестую переменную $list[5] (отсчет с 0, а не с 1) и пропишем условие, что если эта шестая переменная в аргументах получена и она равна TRUE, то html в этом типе писем разрешен...

Не проверял, но должно работать:

CODE:
function _SendMail($list) {
// До формирования письма проверим и установим тип письма:
if(isset($list[5]) && $list[5]===TRUE) {$mailtype='text/html';} // Если разрешен в данном письме html
else {$mailtype='text/plain';}
// Затем формируем заголовки письма подставляя определенную ранее переменную с типом письма:
$headers = 'From: '.$list[0].' <'.$list[1].">\n";
$headers .= 'Reply-To: '.$list[1]."\n";
$headers .= 'Return-Path: '.$list[1]."\n";
$headers .= "MIME-Version: 1.0\nContent-type: ".$mailtype."; charset=windows-1251\nContent-Transfer-Encoding: 8bit\nDate: " . gmdate('D, d M Y H:i:s', time()) . " UT\nX-Priority: 3\nX-MSMail-Priority: Normal\nX-Mailer: PHP\n";


Тогда в командах на отправку писем, где html разрешаем, нужно будет добавить этот шестой аргумент, дописав в их конец еще один: TRUE
Для случая Nikela - это изменения еще в файле register.php

Номера строк по сборке Электрона, у Вас могу отличаться! Но где-то рядом...
Строку 186:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->input['emailaddress'],$subject,$email);

Заменить на:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->input['emailaddress'],$subject,$email, TRUE);

Строку 248:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->input['emailaddress'],$fm->LANG['RegThanks'],$email);

Заменить на:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->input['emailaddress'],$fm->LANG['RegThanks'],$email, TRUE);

Две одинаковых строки 260 и 358:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->exbb['adminemail'],$subject,$email);

Каждую заменить на:
CODE:
$fm->_Mail($fm->exbb['boardname'],$fm->exbb['adminemail'],$fm->exbb['adminemail'],$subject,$email, TRUE);
 
 
BON
Отправлено: 27 октября 2011 — 14:18
Post Id



Администратор
ExBB Team
Admin


Покинул форум
Сообщений всего: 2762
Дата рег-ции: Нояб. 2010  
Откуда: СССР/Белгород
Репутация: 72




igrok54, если в письме придет такая бодяга: <iframe src="/vzlom.js">А тут текс письма</iframe> не сработает код???
 
 
igrok54
Отправлено: 27 октября 2011 — 14:50
Post Id



Пользователь
Advanced Member


Покинул форум
Сообщений всего: 470
Дата рег-ции: Янв. 2010  
Откуда: Пермь
Репутация: 57




BON пишет:
igrok54, если в письме придет такая бодяга: <iframe src="/vzlom.js">А тут текс письма</iframe> не сработает код???

Суть дополнения в том, что можно сделать выборочный вариант с отправкой писем с форума, для каких-то писем разрешить html, для остальных - только текст. А уж на усмотрение админа форума, вносящего изменения с данным вариантом, решить, какие письмо с его форума могут содержать html-код...

В функцию добавлена возможность того, что отправка html возможна, но требуется, чтобы для писем с кодом, чтобы они читались как html, был получен дозволяющий параметр: $list[5]=TRUE. Без этого параметра письмо будет передавать в заголовках, что в нем содержиться только текст и код будет выводиться как текст, в виде именно таком: "<iframe src="/vzlom.js">А тут текст письма</iframe>"...

А вторая часть кодов (изменения в register.php) предназначена конкретно для Никелы. Другие пользователи могут при желании увидеть в кодах, как требуется изменить команды на отправку писем, чтобы в данных письмах разрешалось html (дописать в конец еще один параметр TRUE).
Во второй части кодов описано, какие изменения потребуется внести в файл register.php для того, чтобы после регистрации юзер получал письмо с форматированием. А текст этих писем лежит в файле lang_front_register.php, и в него теперь можно внести html-форматирование. Этот текст же редактировать может только админ, поэтому для данного случая все вполне безопасно.
 
 
BON
Отправлено: 27 октября 2011 — 15:20
Post Id



Администратор
ExBB Team
Admin


Покинул форум
Сообщений всего: 2762
Дата рег-ции: Нояб. 2010  
Откуда: СССР/Белгород
Репутация: 72




а всё спасибо, понял Улыбка
 
 
Страниц (2): « 1 [2]
Сейчас эту тему просматривают: 1 (гостей: 1, зарегистрированных: 0)
« Настройка форума »

> Похожие темы: регистрация пользователя
Темы Форум Информация о теме Обновление
Мод: Расширенные почтовые функции (Почтовая очередь)
Гарантированная доставки писем с форума всем пользователям!
Модификации и дополнения Ответов: 59
Автор темы: yura3d
27 июля 2014 — 15:22
Автор: nikk
Мод: Welcome-панель для ExBB FM 1.0 RC1
Окно приветствия пользователя
Модификации и дополнения Ответов: 56
Автор темы: electron
18 октября 2013 — 16:57
Автор: wasp
Мод: Регистрация и авторизация со сторонних ресурсов (Loginza)
Быстрая регистрация, вход на форум через социальные сети и другие популярные сайты
Модификации и дополнения Ответов: 300
Автор темы: Defenderyk
20 января 2015 — 10:31
Автор: variant0
Дополнение: Ограничение использования службы ЛС новичками
Для противодействия спаму и неадекватным пользователям
Модификации и дополнения Ответов: 24
Автор темы: yura3d
23 декабря 2014 — 07:01
Автор: demon124
О нагрузке на сервер
Нагрузка на сервер или сколько запросов в БД от одного пользователя
MySQL Ответов: 17
Автор темы: Defenderyk
15 февраля 2011 — 11:26
Автор: M-A-X
 



Все гости форума могут просматривать этот раздел.
Только администраторы и модераторы могут создавать новые темы в этом разделе.
Только администраторы и модераторы могут отвечать на сообщения в этом разделе.
 




Яндекс.Метрика   

Powered by ExBB
ExBB FM 1.0 RC1 by TvoyWeb.ru
InvisionExBB Style converted by Markus®

[Script Execution time: 0.0821]     [ ]