经典ASP黑客 - 注入

Question

在传统的ASP中，我已经对我的应用程序中的所有SQL查询使用了参数化查询。

我是否需要保护一个不访问数据库的简单电子邮件表单？

Answer 1

防止垃圾邮件机器人是一个不错的主意。如果不知情，您不希望其他计算机使用您的表单。这里有一些建议：

1. 创建一个独立的帐户，该页面将发送电子邮件给。如果地址被滥用，您可以切换到另一个地址。
2. 使用验证码。我喜欢Mollom，因为它只显示一个验证码，如果一个条目看起来像垃圾邮件，这对大多数真正的用户不是侵入性的。

Answer 2

正如所建议的CAPTCHA是一个好主意，以避免垃圾邮件/食品攻击，您的邮件服务器可以排队数以千计的电子邮件，这可能会导致严重的问题和管理开销。另请注意Email Injection。这可能允许攻击者通过您的服务器发送垃圾邮件。