Комментарии / Русскоязычное сообщество MODX

Всего 125 356 комментариев

Максим

11 января 2024, 19:55

Не помогло)

Вопросы

Как защитить Formit от Curl 17

Артур Шевченко

11 января 2024, 19:34

Можно попробовать эту строку заменить на такую

$hash = $_SESSION['afhash'] = md5(http_build_query($scriptProperties));

А на этой строке добавить проверку

if(!$_SESSION['afhash'] || !$_REQUEST['af_action'] || $_REQUEST['af_action'] !== $_SESSION['afhash']){
 echo $AjaxForm->error('af_err_action_ns');
}

И не забудь рассказать помогло или нет, интересно же)))

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 19:23

А без смены нет решений? Это сам по себе AjaxForm дырявый?

Вопросы

Как защитить Formit от Curl 17

Артур Шевченко

11 января 2024, 19:14

Поменяй AjaxForm на SendIt

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 19:08

Капчу поставил другую, на морде все отрабатывает отлично, без прохождения капчи форма не уходит, а через курл как шли письма — так и идут. Куда еще можно копать? Почему капча не работает на системном уровне? Где то может я какую то настройку упускаю?

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 14:47

Это все понятно, но поломанный ajaxform не мешает отправлять злоумышленнику отправлять курлом письма. Тут вопрос не в том, как пресекать действия с помощью рекапчи, а как запретить курлом отправлять письма напрямую через formit?

Вопросы

Как защитить Formit от Curl 17

Наумов Алексей

11 января 2024, 14:13

ну смотри…
AjaxForm лишь прокидывает данные на FormIt.
Для того, чтобы это все работало — при рендере формы в сессию записываются $scriptPtoperties с которыми вызывался AjaxForm, эти данные записаны в сессии с ключем, который передается в af_action.

Получается, что в сессии эти данные есть по крайней мере она не пуста)

Потом FormIt вызывает хуки по очереди:
— spam он там как-то email проверяет, у тебя в форме я каких-либо email не вижу, думаю что в итоге этот хук вообще ничего не делает у тебя;
— далее правильно вызывать recaptchav3, судя по логам он с ошибкой работает. Если посмотрим в код, то сообщение в логе «Failed to load Recaptcha class» означает и то, что хук вернет false. Все, FormIt должен прекратить обработку, до хука email, который отправит письмо, дело не дойдет.

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 13:24

Поменял местами, поставил хук капчи первым. С сайта форма отправляется (пишет все ок), на почту не приходят, в логах ошибка — httpdocs/core/cache/includes/elements/modsnippet/94.include.cache.php: 84) Failed to load Recaptcha class. Но скриптом через курл письма отлично приходят))) Капча не помогает защищаться от курла(

Вопросы

Как защитить Formit от Curl 17

Наумов Алексей

11 января 2024, 13:18

хуки вызываются в порядке их указания:
&hooks=`spam,email,recaptchav3`
у вас значит проверка spam (не знаю, что там), далее отправляется письмо, далее проверка рекапчи… только смысл то её проверять, письмо уже отправлено.

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 13:17

Капча не появляется, так как скрипт не определяет, что визит подозрительный. Я если не вызываю сниппет на страницы, отправить курлом письмо все равно получается. Получается даже в том случае, когда на сайте не остается ни одной формы.

Вопросы

Как защитить Formit от Curl 17

Максим

11 января 2024, 13:16

[[!AjaxForm?
&snippet=`FormIt`
&form=`tplCallbackForm`
&emailTpl=`tplCallbackMessage`
&hooks=`spam,email,recaptchav3`
&emailSubject=`Заказ обратного звонка с сайта [[++site_url]]`
&emailTo=`[[++ms2_email_manager]]`
&validate=`name:required,phone:required,email:blank`
&validationErrorMessage=`В форме содержатся ошибки!`
&successMessage=`Сообщение успешно отправлено!`
]]

Вопросы

Как защитить Formit от Curl 17

Наумов Алексей

11 января 2024, 13:15

Ну вот тут было бы логично добавить проверку isset или array_key_exists. это скорее косяк компонента.

github.com/GulomovCreative/FetchIt/blob/master/core/components/fetchit/model/fetchit.class.php#L79

Вопросы

Fetchit и ошибка Undefined array key "fetchit_called" 1

Наумов Алексей

11 января 2024, 13:11