Hei. Jeg har et enkelt kontakt skjema i php og jeg har ikke lakt noe vekt på sikkerigheten, da jeg kan for lite.

Fikk mail for 3 dager siden:
Spørsmål: ved et kontakt skjema, hva kan en hacker gjøre?
Fikk beskjed av webhost at "Global Config" var på (Er slått av nå)

Hva er det man kan gjøre for å hindre å bli misbrukt?

http://www.captcha.net/
Dette fungerer fint til sånt.

Takk for svar
Men sånn gennerelt, Hva er ulempen med at Global Config er slått på?

Umulig å si hva 'Global Config' hos din webhost. Her er det en 'bots' som ønsker å sende ut spam.

3 ting du kan gjøre:
1.lag en verifisering som det er foreslått over her.
2.Sjekk Http referer om POST kommer ifra siden din. (mindre brukbart).
3.Lag enda ett felt som er gjemt via CSS, dette feltet vil ikke ett menneske kunne se.. MEN en bot vil fylle den ut. Så kan du sjekke i scriptet om den er fylt ut: så ikke send skjemaet. (normal respons på denne også).

Jeg tror det er snakk om register_globals. Vell for og si det slik, hvis web-hosten din bruker en sammensetting av Apache, MySQL og PHP med register_globals slått på ved "default setup", så skal du tenke på og bytte host.

Du kan lese mer om register_globals i php manualen.


Sikkerhet rundt PHP og bruker interaksjon:

• Behandle all input som om det var skadelig kode(Dette gjør deg mer observant på bra/dårlig sikkerhet i php).
• Valider input. Hvis det er en "string" du skal ha inn, så sjekk for string. Dette gjelder alt fra; tall, tid/dato, tillatte bokstaver osv.
• Få noen til og teste skriptet for mulige sikkerhets hull som kan utnyttes.
  

Noen stikkord som kan være til nytte for koding av skript som har med bruker interaksjon og gjøre er:

• Validering
• Sanitering
• Alltid følg metodikken kalt "exit early".

Jeg bruker denne metoden på mine skjemaer, og er aldri plaget med noe spam. Med tanke på brukervennlighet er også denne løsningen best, da bruker slipper å tyde et bilde/svare på spørsmål.

Nei. reCaptcha, og stort sett alle andre captcha er knekt, og stopper bare de dårligste spambotene.

Løsningen med å ha ett felt som du setter "display:none;" i CSS høres mye bedre ut