spam durch wp-contactform

welche version ist bei dir installiert?

mit der version 1.3 sollte das eigentlich kein thema mehr sein.

Zitat von kuschti

genau dieses prob habe ich, nicht andere sondern ich erhalte spam.

achso, dann entschuldige meine annahme. Du könntest bei dem Entwickler anfragen wann die neue Version veröffentlicht wird.

Mich würde interessieren wie so ein Spamaufruf passiert? Hast du in den Logfiles einen aufruf des Formulars vorher oder wird direkt das Plugin aufgerufen und dort die Email übergeben? Da das WP-Contactform noch nicht über einen Hashschutz verfügt.

Interessant dazu vielleicht dieser Artikel:

http://www.computer-security.de/content/view/77/32/

Bei mir wird's seit Kurzem auch immer wieder versucht. Vermutlich ohne Erfolg, aber dann habe ich eine Mail bekommen, in der ein anderer Betreff als der einzig Mögliche (der, den man in den Optionen einstellen kann) angegeben war.

Daraufhin hab ich das PlugIn noch ein bisschen weiter verändert. Bei mir sind jetzt in allen Eingabefeldern folgende Zeichenketten "verboten": \", "\r", "\n", "mime-version", "content-type", "cc:", "bcc:", "to:", "subject:", "content-transfer-encoding:", "charset"

Such mal im PlugIn nach der Funktion is_malicous. Die kann man noch um ein paar weitere Zeichenketten erweitern. Außerdem prüft die Funktion bei mir jetzt SÄMTLICHE Eingabefelder.

Ich bekomme zwar immer noch ab und zu komische Mails, aber in denen steht nicht mehr drin, als man ohne Hacken reinschreiben könnte. Vor allem kein Kopie an blablabla ...

Bei Bedarf kann ich das veränderte PlugIn (ist auch übersetzt und so) gerne zur Verfügung stellen. Ich hab aber noch ein bisschen an der HTML-Ausgabe verändert, das Formular wird bei mir als ungeordnete Liste ausgegeben...

pufaxx: Kannst Du mir das mal als zip zuschicken? Gegebenenfalls leite ich das auch mal an Ryan (dem Plugin-Creator) weiter.
@kutschi: Kannst Du mir eventuell mal solch einen SPAM zusenden, oder mal sagen welche Seite betroffen ist?

die function wpcf_is_malicious($input) ist gemeint und beginnt im originalcode ab Zeile 68.

das was du erweitern musst ist diese Zeile

$bad_inputs = array("\r", "\n", "mime-version", "content-type", "cc:", "to:");

ändern in

$bad_inputs = array("\","\r", "\n", "mime-version", "content-type", 
"cc:", "bcc:", "to:", "subject","content-transfer-encoding:", "charset");

Sorry, war vorhin in Eile - normal hätte ich das auch genauer und nicht bloß aus der Erinnerung heraus hingeschrieben.

Jetzt noch mal ausführlich:

Alle Änderungen müssen in der Datei "wp-contactform.php" vorgenommen werden. Die "options-contactform.php" kann so bleiben, wie sie ist.

Zur den Änderungen in "wp-contactform.php"

Die Funktion wpcf_check_input() untersucht, ob alles korrekt ist - und bedient sich dabei der Funktion wpcf_is_malicious($input) - Im Original werden dort nur die Eingaben der Felder Name und E-Mail-Adresse überprüft. Das geschieht in den Zeilen 110 bis 113:

Original:

if(wpcf_is_malicious($_POST['wpcf_your_name']) || wpcf_is_malicious($_POST['wpcf_email'])) {
		$ok = false; $reason = 'malicious';
	}

Da ich trotzdem zwei Mails bekommen habe, in der mein voreingestellter Betreff verändert wurde, habe ich noch mehr Zeichenketten "verboten" - und das Verbot auf alle Eingabefelder ausgedehnt.

Meine Bearbeitung von wpcf_check_input()

if(wpcf_is_malicious($_POST['wpcf_your_name']) || wpcf_is_malicious($_POST['wpcf_email']) || wpcf_is_malicious($_POST['wpcf_msg']) || wpcf_is_malicious($_POST['wpcf_website'])) {
		$ok = false; $reason = 'malicious';
	}

Meine Bearbeitung von wpcf_is_malicious

function wpcf_is_malicious($input) {
	//noch ein paar zusätzliche Zeichen und Zeichenketten verboten ...
	$is_malicious = false;
	$bad_inputs = array("\\", "\r", "\n", "mime-version", "content-type", "cc:", "bcc:", "to:", "subject:", "content-transfer-encoding:", "charset");
	foreach($bad_inputs as $bad_input) {
		if(strpos(strtolower($input), strtolower($bad_input)) !== false) {
			$is_malicious = true; break;
		}
	}
	return $is_malicious;
}

johannes - "mein" wp-contactform kann ich Dir gerne schicken - aber wie gesagt - ich hab dann doch recht viel dran rumgebastelt, weil ich in letzter Zeit einige Seiten, oftmals auch mit Formularen zu betreuen hatte - und ich hab da so eine Art "Strickmuster", nach dem ich jedes Formular aufbaue. Wahrscheinlich kann man sich je nach Layout auch das ein oder andere Tag sparen, aber bei dem Quelltext ist man dann in der Gestaltung flexibel. Und eben ein bisschen schneller, wenn's überall gleich "heißt"...

wp-contactform gibt bei mir jetzt Folgendes aus: <ul>-Liste, für jede Formular-Zeile ein <li> - und für links, rechts, mitte dann ein entsprechend benanntes <span> ... Bzw. ist es bei gunnart.de noch ein <div> ...

Ich glaub, es ist einfacher, wenn Du nur die oben beschriebenen Funktions-Änderungen in dein Original einbaust, als dass Du die ganzen geänderten HTML-Ausgabe-Geschichten wieder zurückbastelst.

Ach ja:

Also man kann damit natürlich nicht verhindern, dass man selbst Spam bekommt. Aber dass aus dem Kontaktformular heraus Spam verschickt wird, sollte damit hoffentlich unmöglich sein.

Mir ist das im September leider passiert (wp-contactform Version 1.0) - Und die Anzahl verschickter Mails muss in weniger als einer Stunde auf mehrer tausend angewachsen sein ... Also WENN's einen trifft, dann trifft's einen HART.

Ich bin davon auch betroffen.

Allerdings krieg ich jeden Tag so um due 10-20.
Arg, das nervt mich sowas von.

Ich würde mir so eine Funktion wie bei Spam Karma wünschen, wo man ein Buchstabencode eingeben muss.

Mal schauen, vielleicht krieg ich das irgendwie hin. Aber bis auf weiteres hau ich dieses Plug In raus!

Habe soeben die Version 1.4.2 übersetzt. Läuft mit WordPress 2.0 und hat einen verbesserten SPAM-Schutz. Download unter http://johannesries.de/webwork/contactform/ und Changelog von Ryan (Entwickler) unter http://ryanduff.net/projects/wp-contactform/changelog/.

Leider besteht das Problem immer noch. Habe mittlerweile Version 1.4.3 laufen und bekomme immer mal wieder 3-4 Mails des bekannten Formats :-(

seit einigen Tagen bekomme ich auch diese Spam-Emails über das Kontakt-Formular und habe diese Plugin erst mal deaktiviert.

Wordpress: 2.03
WP-Contactform, deutsche Übersetzung 1.4.2b

siehe hier:http://sumu.psychomuell.de/wp-pluginwp-contactform/

Mal "doof" gefragt:

Könnt man(n) nicht sowas

http://sw-guide.de/wordpress/math…tection-plugin/

einbauen?