Gültige E-Mail-Adressen - XSS und SQL-Injection

Da gibt es so viele gültige Zeichen für E-Mail-Adressen, gibt es gültig E-Mail-Adressen können in selbst XSS-Attacken oder SQL-injections? Ich konnte nicht finden alle Informationen dazu auf der web.

Den local-part der e-mail-Adresse
können alle diese ASCII-Zeichen:

  • Groß-und Kleinbuchstaben Buchstaben des englischen Alphabets (a–z, a–Z)
  • Ziffern 0 bis 9
  • Zeichen ! # $ % & ' * + - /= ? ^ _ ` { | } ~
  • Charakter . (Punkt, Punkt, Punkt), vorausgesetzt, dass es nicht das Letzte
    Charakter, und vorausgesetzt auch, dass es nicht erscheint, zwei oder
    mehrmals hintereinander (z.B. [email protected]).

http://en.wikipedia.org/wiki/E-mail_address#RFC_specification

Ich bin nicht zu Fragen, wie um zu verhindern, dass diese Angriffe (ich bin schon mit parametrisierten Abfragen und Flucht - /HTML-purifier), das ist mehr ein proof-of-concept.

Das erste, was mir einfiel, war 'OR [email protected], außer, dass Leerzeichen nicht erlaubt sind. Tun alle SQL-Injektionen erfordern Räume?

InformationsquelleAutor Lotus Notes | 2010-05-27
  1. 12

    Leerzeichen sind erlaubt, wenn Sie in Anführungszeichen eingeschlossen, jedoch so "'OR 1=1--"@gmail.com ist eine gültige e-mail-Adresse. Außerdem ist es wahrscheinlich weniger ein Problem, aber technisch gesehen, sind beide gültige e-mail-Adressen:

    ' BAD SQL STUFF -- <[email protected]>
[email protected] (' BAD SQL STUFF --)

    Selbst wenn dies war nicht möglich, gibt es noch keinen Grund, dass Sie sollten nicht mit paramaterized Abfragen und Codierung werden alle vom Benutzer eingegebenen Daten dem Benutzer angezeigt.

    • Kann eine isemail.info um zu überprüfen, für E-Mail-Adresse, die Sie mögen, oder ansonsten einfach testen, mit einem filter auf injizierbare E-Mail-Adressen über einige php-Funktion wie filter überprüfen E-Mail. Basierend auf isemail.info die erste Adresse ist ungültig, und die zweite Adresse "Adresse gültig ist, innerhalb der Nachricht, kann aber nicht verwendet werden, die unverändert für den Umschlag"
    InformationsquelleAutor Ryan Brunner
  2. -5
    /^[a-z0-9.-_+]@[a-z0-9.-]$/i

    ich denke, dass Spiele wie 99.9999% aller E-Mail-Adressen 😉

    • btw. das ist nur zu prüfen, wenn der text nicht vollgepackt mit xss/sql-Injektionen, etc. - es ist nicht ein Weg, um die Validierung einer E-Mail-Adresse.
    InformationsquelleAutor Toby
Schreibe einen Kommentar