Kontaktformular - Spam? Missbrauch?

[Raven45]

Hallo,

kann mir irgendwer einen Tipp geben, was dies zu bedeuten hat und ob man etwas dagegen tun kann?

ich erhalte neuerdings "Mail delivery failed: returning message to sender" Mails, die anscheinend ihren Ursprung in einen Kontaktformular haben.

Also: ich betreibe eine Webseite, nutze das Standard-Kontaktformular von freenet, dem automatisch (von freenet, nicht änderbar) meine Mailadresse webmaster@.... hinterlegt ist.

Wie würdet ihr diese Nachricht interpretieren?

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

[Link nur für registrierte Mitglieder sichtbar. ]
SMTP error from remote mail server after end of data:
host mx.freenet.de [194.97.55.147]: 550 No valid sender in Sender:, Reply-To:, or From:

------ This is a copy of the message, including all the headers. ------

Return-path: < [Link nur für registrierte Mitglieder sichtbar. ]>
Received: from www021.lifemedien.de ([194.97.107.151])
by smtp.service-domainregistrierung.de with esmtp (Exim 4.60)
(envelope-from < [Link nur für registrierte Mitglieder sichtbar. ]>)
id 1GAyXn-0004hP-7I
for [Link nur für registrierte Mitglieder sichtbar. ]; Thu, 10 Aug 2006 02:37:03 +0200
Received: by www021.lifemedien.de (Postfix, from userid 30)
id 27165160B6; Thu, 10 Aug 2006 02:37:03 +0200 (CEST)
Content-Disposition: inline
Content-Transfer-Encoding: quoted-printable
Content-Type: text/plain; charset="iso-8859-1"
MIME-Version: 1.0
X-Mailer: MIME::Lite 3.01 (F2.72; B2.21; Q2.21)
Date: Thu, 10 Aug 2006 00:37:03 UT
From: [Link nur für registrierte Mitglieder sichtbar. ] (Discount Fabric)
To: [Link nur für registrierte Mitglieder sichtbar. ]
Subject: boss
Message-Id: < [Link nur für registrierte Mitglieder sichtbar. ]>

Aus WWW Formular von:
Discount Fabric ( [Link nur für registrierte Mitglieder sichtbar. ]) am Donnerstag, 10. August 2006 um 02:37:03=
Uhr
---------------------------------------------------------------------------

text: [Link nur für registrierte Mitglieder sichtbar. ]=
* [Link nur für registrierte Mitglieder sichtbar. ] * [Link nur für registrierte Mitglieder sichtbar. ] <a href=3Dhttp://discount-fabric.homeinf=
oworld.com >Discount Fabric</a> | <a href=3Dhttp://wallflower.askfree.info =
>Wallflower</a> | <a href=3Dhttp://pool-toys.yhome.org >Pool Toys</a> http:=
//discount-fabric.homeinfoworld.com [SPAMLINKSPAMLINK] [Link nur für registrierte Mitglieder sichtbar. ]
ool-toys.yhome.org

: Abschicken

Gruß,
Dagmar

[schnueffler]

Wie würdet ihr diese Nachricht interpretieren?

...als Spam.
Und zwar hat Dir Spammy über einen automatischen Sript (er hat nie Deine Webseite manuell geöffnet und den Sch... per Hand eingetragen) eine nette Spammail mit seinen Links über Dein Kontaktformular geschickt.
Kannst Du getrost löschen.
Wie es aussieht, hat er auch versucht, über Dein Kontaktformular anderen seinen Mist zu schicken. So zumindest interpretiere ich die Fehlermeldung.
Freenet läßt allerdings in den eigenen Kontaktformularen nicht zu, an andere Adressen als ...@DeineDomain.xy zu mailen.

Im Übrigen kann man das Freenet-Kontaktformular schon noch verändern. Sieh' mal in der (englischen) Dokumentation (link auf der freenet-Seite mit dem HTML-Code des Formulars) nach.

Bei mir sieht es so aus (auch freenet):

....
<input type="hidden" name="recipient" value= meine Mailaddy; verschlüsselt>
<table border="1">
<tr><td>Betreff: </td>
<td><input name="subject"></td></tr>
<tr><td valign="top">Name: </td>
<td><input name="realname">
</td></tr>
<tr><td valign="top">E-Mail: </td>
<td><input name="email">
</td></tr>
<tr><td valign="top">Text: </td>
<td><textarea name="text" rows="10" cols="55"></textarea>
</td></tr>
<tr><td>&nbsp;</td><td>
<input type="submit" value="Absenden">
<input type="reset" value="Abbrechen">
</td></tr>
</table>
<input type="hidden" name="required" value="realname,email,text">
<input type=hidden name="env_report" value="HTTP_REFERRER,REMOTE_ADDR,HTTP_USER_AGENT">
<input type=hidden name="return_link_url" value="edit...meine Seite...">
<input type=hidden name="return_link_title" value="zurück zu meiner Seite">
</html>

Damit erhältst Du gleich die IP-Adresse von Spammy (bei mir meistens Korea oder Russland) und manchmal siehst Du auch, dass Spammy sich nicht die Mühe macht, einen Browser vorzutäuschen...

Zur Fehlermeldung nochmal: Überprüfe bitte mal, ob die im Kontaktformular eingetragene Mailadresse (z.B. webmaster...) korrekt ist.
Ansonsten ist der gepostete Header das, das Life-Medien (freenet) Dir den Inhalt Deines Kontaktformulars geschickt hat (sollen die doch auch machen, oder?)

Gruß

[schnueffler]

Hallo Dagmar,

die Fehlermeldung (Mail delivery failed) beschäftigt mich immer noch:
Bekommst Du die auch, wenn Du eine normale Nachricht über das Kontaktformular erhältst (sende ggf. mal selbst eine Nachricht über Dein Formular an Dich)?
Im Code für das Kontaktformular kannst Du jede (natürlich eingerichtete!) Mailadresse Deiner Domain, also : z.B. [Link nur für registrierte Mitglieder sichtbar. ] hinterlegen.
Das Anlegen der Mailadressen erfolgt bei freenet in: Domainservice -> E-Mail/Webmail --> Neue Mailbox anlegen. Bei der Gelegenheit solltest Du gleich alle Filtereinstellungen für Virenscanner und Spamfilter (sinnvoll) setzen.

[deekay]

Heute Nacht wurde auch eines meiner Kontaktformulare für derartiges verwendet. War wohl ne "heisse" Spamnacht.

[Raven45]

Hallo schnueffler,

danke für deine Antworten.
Ja, das Kontaktformular funktioniert an sich richtig.

Im dritten! Anlauf hat mir freenet nun wenigstens eine Erklärung gegeben, wie die "mail delivery failed"-Meldungen zustande kommen:

Das Mail-Skript fuehrt nichts anderes aus, als ein Mail-Client auch, es leitet eine DNS-Anfrage an den dahinterliegenden SMTP-Server, welcher einen Abgleich (Plausibilitaets-Check) mit einem zugeordneten DNS-Server durchfuehrt.

Existiert demzufolge die Domainadresse (Top- und Second Level Domain nach dem '@') oder das zugehoerige Mail-Relay nicht, wird die Adresse als unerreichbar bzw. 'not valid', also 'ungueltig' klassifiziert. Sollte eine angeblich im Mail-Cluster der freenet.de AG gehostete Adresse von einem Absender angegeben werden, so findet hier sogar der finale Test bzgl. der Mailbox statt und es erfolgt diese Meldung, falls die Mailbox nicht existiert.

Wird keine Mailadresse in das Kontaktformular eingetragen, kommt eine Fehlermeldung mit der Aufforderung "gehen Sie zurück... "
Wird das Kontaktformular gesendet, machen sie eine DNS-Abfrage der Domain hinter dem @
Wenn diese Domainadresse nicht existiert, bekommt der Seitenbetreiber die "mail delivery failed"-Nachricht.

(Habe es ausprobiert, das stimmt)

Es würde also überhaupt nichts bringen, dem Kontaktformular eine andere Mailaddi zu hinterlegen, es würde auch nicht wirklich helfen, die IP-Adresse von Spammy festzustellen, der Server steht sowieso irgendwo in der Dunkelwelt.

Mit solchen Hostern wie freenet haben die Spammer es vermutlich sehr einfach, da Zitat freenet: Die Mailbox ist fuer alle Domains technisch fest installiert, da hierueber z.T. eine Verknuepfung mit den Standard-CGIs besteht (z.B. der Formmailer).
Mit Mailbox ist webmaster@... gemeint.

Aber anscheinend scheint es nur nerviger Spam zu sein, viel schlimmer wäre es, irgendwer würde im Namen deiner Webseite Spam an andere verschicken, was ich vermutete.

Fragt sich nur, warum die DNS-Abfrage nicht VOR dem Abschicken des Formulars erfolgt.

Gruß,
Dagmar

[schnueffler]

Hallo Dagmar,

es ist richtig, dass eine andere Mailaddy im Kontaktformular den Spam nicht verhindert. Ich wollte in meinem obigen Post nur sagen, dass Du theoretisch jede beliebige existierende Mailadresse Deiner Domain eingeben kannst, da Du im Anfangspost geschrieben hattest, dass "webmaster" vorgegeben ist (stimmt ja auch) und nicht geändert werden kann (stimmt eben nicht).
Die Übertragung von Remote-Adresse und User-Agent minimiert den Spam ebenfalls nicht. Manch' einer interessiert sich aber für die IP-Adresse .

Bei mir tritt fast immer der gleich lästige 'Kunde' ( d* [Link nur für registrierte Mitglieder sichtbar. ]) auf. Das ist auch von Vorteil, da man dann mit den Filtereinstellungen einfach reagieren kann.

Wie kann man den Formularspam mit dem vorhandenen Formular vermeiden? Ich bin da selbst noch am Überlegen. .. und hab' noch keine brauchbare (im freepack techn. realisierbare und zugleich besucherfreundliche) Lösung .

[Raven45]

Hallo schnueffler,

deine Tipps sind auf jeden Fall nützlich!
Ich habe gerade die Zeile
<input type=hidden name="env_report" value="HTTP_REFERRER,REMOTE_ADDR,HTTP_USER_AGENT"> eingebaut, mal schauen, was sich daraus ergibt.

Danke nochmal.

Gruß,
Dagmar

[deekay]

So hat Strato bei mir auf die SPAMwelle [ber das Kontaktformular und ein Webshopmodul geantwortet:

Sehr geehrter Herr xxxx

uns ist zur Kenntnis gelangt, dass Ihre Internetpräsenz zur Versendung von Massen-E-Mails, (SPAM) missbraucht worden ist.

Dies könnte dadurch zustande gekommen sein, dass Sie auf Ihrer Internetpräsenz von Ihnen selbst installierte CGI Skripte bzw. PHP Dateien oder veraltete Versionen davon verwenden. Diese verfügen zum Teil über erhebliche Sicherheitslücken und können deshalb durch unbekannte Dritte für den Versand von Massen- Emails benutzt werden.

Zum einen fördern Sie dadurch (unbewußt) den Versand von SPAM-Mails. Zum anderen besteht aber auch die Gefahr, dass die Server unseres Rechenzentrums aufgrund des über Ihre Website versendeten SPAMs auf eine sog. Blacklist gelangen. Diese schwarzen Listen werden von vielen Providern dazu genutzt, SPAM herauszufiltern. Es kann also dazu kommen, dass Ihre Mails - aber auch die Mails vieler anderer STRATO Kunden - von den Filterprogrammen anderer Provider als "SPAM" identifiziert und gelöscht werden.

Für die auf Ihrer Website installierten Skripte und ausführbaren Dateien sind sie selbst verantwortlich. Wir weisen darauf in unseren Allgemeinen Geschäftsbedingungen ausdrücklich hin (Abschnitt I 4.3).

Um den weiteren Versand von SPAM über Ihrer Präsenz vorerst zu unterbinden haben wir die Datei [/shop/kontakt_send.php], die nach unseren Erkenntnissen den SPAM ermöglicht, deaktiviert. Wenn Sie den SPAM-Versand nachvollziehen wollen, empfehlen wir Ihnen eine Analyse ihrer Log-Files. In den LogFiles werden sämtliche Zugriffe auf Ihre Website festgehalten. Wir stellen Ihnen im Kundenservicebereich unter [Link nur für registrierte Mitglieder sichtbar. ] (Menüpunkt: Statistikabfrage) die LogFiles der letzten sechs Wochen kostenlos zur Verfügung. In den LogFiles müssen Sie nach dem Befehl "POST" suchen, über den Spammer üblicherweise die Skripte ansprechen. Dabei ist zu beachten, dass nur ein einziger Befehl "POST" mehrere hundert Spam Mails verursachen kann.

Wir bitten Sie, zukünftig die von Ihnen eingesetzten Skripte laufend auf Sicherheitslücken zu überprüfen, um zukünftig den Versand von SPAM zu verhindern. Bitte überprüfen Sie auch die aktuellen Programme und entfernen Sie das verantwortliche Skript.

Wir haben uns hierfür eine Frist von sieben Tagen notiert.

Für technische Hilfestellung steht Ihnen der Support, der von Ihnen genutzten Software sicherlich gern zur Verfügung.

Sollten wir bis zum o. g. Termin nichts von Ihnen hören oder sollte sich vor Ablauf dieser Frist das Spam-Aufkommen weiter erhöhen wären wir entsprechend unserer Allgemeinen Geschäftsbedingungen zur Sperrung Ihrer Internetpräsenz berechtigt.

Wir bedauern, dass es zu Schwierigkeiten mit Ihrer Internet-Präsenz gekommen ist und bitten um Verständnis dafür, dass wir gegen SPAM vehement vorgehen müssen.

Mit freundlichen Grüßen
STRATO Medien AG Berlin