Часто при регистрации на различных сайтах пользователя просят оставить свой E-mail адрес. Чтобы в дальнейшем не произошло никаких недоразумений, информацию о пользователе следует проверять перед отправкой на сервер. Конечно, все поля проверять необязательно, но те данные, которые достаточно жёстко определены и ограничены стандартами, необходимо проверить. В частности к ним относятся телефонные номера, адреса электронной почты и номера ICQ.
Учитывая тот факт, что формат таких данных может быть достаточно разнообразным, следует принимать во внимание все возможные варианты.
В этой статье мы ограничимся рассмотрением форматов E-mail адресов и номеров ICQ.
Форматы E-mail адресов
E-mail адрес — это специальный идентификатор, состоящий из строки символов, называемой локальной частью (local-part), за которой следует знак @ (at-sign, со ASCII-значением 64), а затем расположена строка с именем домена (domain). То есть идентификатор имеет вид: local-part@domain .
Локальная часть — это либо строка в кавычках, либо строка, которая может быть разделена точками. Если строка может быть представлена во второй форме, то рекомендуется использовать именно эту форму, а не строку в кавычках.
Локальная часть может содержать следующие символы:
ABCDEFGHIJKLMNOPQRSTUVWXYZ abcdefghijklmnopqrstuvwxyz 0123456789 .!#$%&"*+/-=?^_`{|}~
Локальная часть отделена от доменной с помощью символа @ . Доменная часть идентификатора указывает хост, на который должно быть доставлено письмо.
В доменной части разрешено использование следующих символов:
ABCDEFGHIJKLMNOPQRSTUVWXYZ abcdefghijklmnopqrstuvwxyz 0123456789 .-
Локальная часть зависит от доменной, в том смысле, что её формат может меняться в зависимости от политики отдельного хоста, используемого в качестве доменной части почтового ящика.
Форматы ICQ-номеров
Форматы представления ICQ-номеров менее разнообразны, чем E-mail адреса.
В состав номера ICQ может входить от 5 до 9 цифр. Часто используется представление в формате: XXX-XXX-XXX . Однако, такой формат не универсален, так как, например, 7-значные номера не могут быть представлены в нём однозначно. Поэтому рекомендуется использование формата: XXXXXXXXX (с возможным количеством знаков от 5 до 9).
Разнообразие по количеству знаков в номере ICQ обусловлено тем, что сначала, в момент появления сервиса пользователей регистрировали под 6-значными номерами. Потом когда количества номеров стало не хватать, количество знаков приходилось увеличивать, и на сегодняшний день пользователи могут зарегистрироваться только под 9-значными номерами. Однако, существуют сайты, которые продают 6-, 7-, 8-значные номера.
Проверка полей форм с помощью регулярных выражений JavaScript
Наиболее удобным способом проверки введенных данных является использование регулярных выражений.
Регулярное выражение — это шаблон, которому сопоставляются введённые данные (строковые данные). Они называются регулярными, так как могут использоваться для сопоставления ограниченному набору данных (заранее определенного формата).
Если вы хотите узнать больше об использовании регулярных выражений в JavaScript, советуем обратиться к книге Томаса Пауэлла и Фрица Шнайдера "Полный справочник по JavaScript: Второе издание" . В книге подробно описаны возможности языка JavaScript для работы с регулярными выражениями.
Проверка ICQ-номеров
Сперва необходимо создать регулярное выражение, которое бы соответствовало формату ICQ-номера. В случае с форматом XXXXXXXXX , регулярное выражение будет таким:
Var pattern = /^\d{5,9}$/;
В JavaScript регулярные выражения ограничиваются символами / с двух сторон. Конструкция \d{5,9} означает, что строка должна состоять из цифр (\d) и содержать от 5 до 9 знаков ({5,9}). Символы ^ и $ говорят нам о том, что строка полностью соответствует этому шаблону, нет ни единого символа до и после него.
Таким образом, шаблону будут соответствовать строки, например, такого вида: 20045697 , 102145 , 48574 , 123456789 . Шаблону не соответствуют строки: 5422 , 1234567890 . Строки содержащие символы, отличные от цифровых шаблону также не соответствуют. Мы не рассматриваем формат XXX-XXX-XXX , так как он не универсален. Пользователя всегда следует уведомлять о том, в каком формате необходимо ввести данные.
Проверка E-mail адресов
Составление регулярного выражения для проверки E-mail адресов является более трудной задачей. Формат E-mail адресов был описан выше, здесь мы укажем лишь регулярное выражение:
Var pattern = /^((|[!#$%\*\/\?\|^\{\}`~&"\+=-_])+\.)* (|[!#$%\*\/\?\|^\{\}`~&"\+=-_])+@ (+\.)++$/;
Регулярное выражение записывается на одной строке, без переносов. Строка означает, что сначала могут располагаться 0 или более символов локальной части, отличных от точки, с последующей точкой, затем располагаются 1 или более символов локальной части, отличных от точки, затем символ @ , потом доменная часть, соответствующего формата.
Для проверки соответствия шаблону в JavaScript используется функция test , которая возвращает true , если строка соответствует шаблону и false в противоположном случае.
Var pattern = /^((|[!#$%\*\/\?\|^\{\}`~&"\+=-_])+\.)* (|[!#$%\*\/\?\|^\{\}`~&"\+=-_])+@ (+\.)++$/; pattern.test("[email protected]"); // возвратит false pattern.test("[email protected]"); // возвратит true pattern.test("[email protected]"); // возвратит true pattern.test("[email protected]"); // возвратит false
Выводы
Для обеспечения удобства заполнения форм, а также корректности введенных данных необходимо правильно определять допустимые для ввода форматы данных. Также нужно информировать пользователя о том, в каком формате следует вводить информацию.
В плане реализации проверки форм наиболее удачным является использование регулярных выражений, которые позволяют подобрать шаблон в подавляющем большинстве случаев.
В статье использованы материалы документа
Самой частой причиной проблем с раскрытием файла E является просто отсутствие соответствующих приложений, установленных на Вашем компьютере. В таком случае достаточно найти, скачать и установить приложение, обслуживающее файлы в формате E - такие программы доступны ниже.
Поисковая система
Введите расширение файла
Помощь
Подсказка
Необходимо учесть, что некоторые закодированные данные из файлов, которые наш компьютер не читает, иногда можно просмотреть в Блокноте. Таким образом мы прочитаем фрагменты текста или числа - Стоит проверить, действует ли этот метод также в случае файлов E.
Что сделать, если приложение со списка уже было установлено?
Часто установленное приложение должно автоматически связаться с файлом E. Если это не произошло, то файл E успешно можно связать вручную с ново установленным приложением. Достаточно нажать правой кнопкой мышки на файл E, а затем среди доступных выбрать опцию "Выбрать программу по умолчанию". Затем необходимо выбрать опцию "Просмотреть" и отыскать избранное приложение. Введенные изменения необходимо утвердить с помощью опции "OK".
Программы, открывающие файл E
Windows
Почему я не могу открыть файл E?
Проблемы с файлами E могут иметь также другую почву. Иногда даже установление на компьютере программного обеспечения, обслуживающего файлы E не решит проблему. Причиной невозможности открытия, а также работы с файлом E может быть также:
Несоответственные связи файла E в записях реестра
- повреждение файла E, который мы открываем
- инфицирование файла E (вирусы)
- слишком маленький ресурс компьютера
- неактуальные драйверы
- устранение расширения E из реестра системы Windows
- незавершенная установка программы, обслуживающей расширение E
Устранение этих проблем должно привести к свободному открытию и работе с файлами E. В случае, если компьютер по-прежнему имеет проблемы с файлами, необходимо воспользоваться помощью эксперта, который установит точную причину.
Мой компьютер не показывает расширений файлов, что сделать?
В стандартных установках системы Windows пользователь компьютера не видит расширения файлов E. Это успешно можно изменить в настройках. Достаточно войти в "Панель управления" и выбрать "Вид и персонализация". Затем необходимо войти в "Опции папок", и открыть "Вид". В закладке "Вид" находится опция "Укрыть расширения известных типов файлов" - необходимо выбрать эту опцию и подтвердить операцию нажатием кнопки "OK". В этот момент расширения всех файлов, в том числе E должны появится сортированные по названию файла.
Это когда форма обратной связи на сайте используется для рассылки спама.
Как? Cамый дурной вариант - когда скрипт позволяет пользователю подставить адрес получателя. Это уж совсем ни в какие ворота не лезет. И даже словом injection не назовешь - а просто головотяпство.
Собственно injection - это когда адреса получателей подставляются в поля формы так, чтобы попасть в заголовки письма. К примеру, в заголовок.
Говоря о mail injection, невозможно обойти вниманием сам принцип работы почтовых отправлений. Даже больше скажу: человек, который знает, как устроено электронное письмо, сразу понимает, в чем смысл таких инъекций, и как от них защищаться. Вообще, это та проблема, о которой я все время говорю: Давая новичку полное понимание предмета, ты отвечаешь ему на сто вопросов разом. А пичкать ответами на каждый отдельный вопрос - ну это же жутко непроизводительно! Не по-программистски!
Что проще - посмотреть ответ в таблице умножения, или постоянно бегать к соседу с вопросами - сколько будет пятью пять, трижды семь?
Что проще - один раз объяснить (а ещё лучше - отправить почитать) про формат письма или отвечать на сто вопросов про инъекции, кодировки, вложения файлов и так далее?
Формат e-mail
Итак, что собой представляет почтовое сообщение?
Во-первых, это обычный текст. просто набор строк определенного формата. Которые можно читать и, при некотором навыке - понимать.
Во-вторых, вы будете смеяться, но устроено оно точно по тому же принципу, что и наши веб-страницы.
При запросе страницы по протоколу HTTP сначала идут заголовки, каждый на своей отдельной строке, а затем - тело ответа. Соответственно, заголовки от тела отделяются пустой строкой. Такой вот нехитрый формат. Сначала каждая строка воспринимается как заголовок, а как только встречается пустая - значит, дальше идет тело, которое надо показывать.
В почтовом сообщении все устроено точно так же.
Вообще, я считаю, что один раз посмотреть - это лучше, чем сто раз прочесть. А при работе с почтой исходный текст письма так же важен, как и исходник HTML страницы при разработке сайта на пхп.
Здесь ещё одна проблема. Очень многие программисты просто не знают, что они хотят сделать. Я, говорит, хочу отправить письмо. Но ведь письмо - это ТЕКСТ! Казалось бы, чего проще - составил сначала текст, который хочешь получить, убедился, что этот текст работает - и генери точно такой же на пхп! Но нет. поскольку человек не знает, из каких элементов состоит исходный текст письма, и какой за что отвечает - то и тычется с вопросами: а почему у меня письмо крокозябрами? А почему у меня письмо нормальное, а заголовок крокозябрами - я ведь кодировку указал? А почему заголовок не "Вам письмо" а лабуда какая-то - =?koi8-r?B?98HNINDJ09jNzw==?= ???
С SQL запросами и HTML текстом то же самое. Я, говорит, хочу меню на пхп. Милый - объясняешь ему - меню на пхп не бывает! Нарисуй какое хочешь меню на HTML, а потом пиши скрипт на пхп, который рисует такое же. Мне не надо - орет - на HTML! Подожду ответа более грамотного специалиста!
Так же и здесь. Ну разберись один раз - что какой заголовок значит и как кодируется.
В бате и в Outlook Express посмотреть исходник письма можно. В MS Outlook - только заголовки. В других клиентах не знаю. Но Outlook Express есть на любой виндовой машине, а пользователям других систем, я надеюсь, не нужно объяснять формат почтовых сообщений. Поэтому рекомендую создать письмо в OE, зайти в отправленные, нажать Свойства - Подробно - Исходное сообщение.
Да, очень рекомендую перед этим в настройках выставить формат отправления, как "просто текст". иначе исходник будет гораздо сложнее для понимания. Что мы там увидим?
From: "phorror"
Date: Wed, 13 Jun 2007 10:08:32 +0400
MIME-Version: 1.0
Content-Type: text/plain;
charset="koi8-r";
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.3028
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3028
test
test
test
На заголовки, начинающиеся с X, обращать внимание не надо - это необязательные.
главное, что мы видим:
1. Все, как я и рассказывал - сначала заголовки, потом пустая строка, потом текст
2. Формат заголовка: начинается с новой строки, дальше идет ключевое слово, дальше двоеточие, пробел и значение (опять очень похоже на НТТР заголовки!)
3. Формат указания e-mail адресов. Кроме имени, понятно без перевода. про имя ниже.
4. формат указания заголовка. Ничё непонятно. Хотя, если не ужасаться, а сесть и немножко подумать, то можно сообразить, что, во-первых, такая лабуда применяется для форматирования строк в кодировках, отличных от latin1, а, во-вторых, формат-то у них совсем простой. Вопросительные знаки разделяют разные поля (точь-в точь как палочки | или пять троеточий в твоей первой гостевой книге). Первым полем идет явно кодировка языка. Вторым - можно догадаться - формат кодирования текста. Там может быть B или Q. (base64 и Q-encoding соответственно). А дальше - сам текст заголовка.
Следовательно, понятен и алгоритм раскодирования: разбиваем по вопросам, раскодируем текст (функции есть в пхп, для Q подойдет от quoted-printable, как я понимаю), перекодируем язык если надо. Всё. Для сборки своего заголовка - обратная операция.
Если бы сабжект был английский, то он выглядел бы просто:
Subject: This is a test letter
5. Поле Content-Type показывает нам, что заголовок может состоять не из одной строки, а может продолжаться на следующих - для этого дополнительные строки должны начинаться с пробельного символа. А так же, что она отвечает за кодировку текста письма, указывает формат - текст или html, и ведает ещё одной очень важной функцией: отвечает за структуру сложных, multipart сообщений, которые мы рассматривать здесь не будем.
Из всего вышесказанного видно, что научиться отправлять собственные письма (те, которые формирует скрипт, а не из заполненной формы) очень просто:
1. Пишем в аутлуке ровно такое же письмо, которое хотим отправлять скриптом.
2. Смотрим заголовки.
3. Пишем скрипт, который формирует точно такие же.
4. Подсталяем эти заголовки в нужные поля функции mail
5. Готово!
И никаких проблем с кодировками самого письма, заголовоков, имени отправителя! слово "крокозяблы" пропадает из нашего лексикона!
И с SQL запросами все ровно то же самое. новички часто пытаются сразу писать скрипт, который формирует сложный запрос, даже не представляя себе в точности, как этот запрос должен выглядеть! Запрос сначала надо написать и отладить в консоли или графическом клиенте. А потом писать пхп скрипт, который формирует точно такой же текст запроса.
Всё. Теперь можно переходить к инъекциям.
Защита
Исходя из структуры письма можно сделать простой вывод: используя переводы строк, можно добавить любое количество новых заголовоков, в том числе - и адресов получателей.
то есть, если мы напишем в своем коде
$subject=$_POST["subject"], а в этом поле будет написано сто адресов получателей, разделенных переводами строк, то письмо отправится сотне жертв. просто, как два байта переслать.
Отсюда следует, что и защита форм обратной связи такая же простая.
Самое надёжное - помещать введенную пользователем информацию только в текст письма, и никуда больше. Сам я использую именно этот метод. Мне он нравится своей простотой и надежностью. А чем решение проще - тем оно мне милее.
Если же ну прямо так уж хочется эмулировать отправку "настоящего" емейла - с заголовком, адресом отправителя и так далее, то все данные из формы, которые вставляются не в текст сообщения, следует обязательно проверить на наличие символов "\r" и "\n"!
И при наличии таких символов письмо не отправлять.
Адрес получателя, разумеется, дожен быть жестко прописан в скрипте (видал я некоторых уникумов, писавших адрес в скрытое поле в форме).
Файл образа EnCase кодируется со стандартами хранения образа диска и сжатия, используемых в формате E01. Эти файлы E01 прикреплены с расширением.e01 и используются EnCase приложением. Программное обеспечение EnCase и формат образа диска E01 был разработан Guidance Software для обеспечения судмедэкспертов и криминалистов с набором функций, полезных в хранении, организации и обновления технических данных и текстовых изображений, сохраненных в этих файлах Е01. Когда пользователь EnCase должен передать ряд судебно-медицинских документов и цифровых фотографий, он или она может использовать это программное обеспечение для создания образа диска в формате E01. Файл E01 можно скопировать к флэш-диск среди других устройств хранения внешних данных, или даже по электронной почте или загрузить на веб-сервере. Данные, сохраненные в файле E01, то можно получить путем установки файла образа диска E01 с помощью EnCase или другие совместимые приложения, реализованные с поддержкой формата образа диска E01. Судебно-медицинской экспертизы и техническое содержание файла E01 может использоваться в судебных разбирательства в качестве доказательств, которые могут быть использованы при рассмотрении уголовных дел среди других судебных дел.
Вирусы
