ScriptBlogger

Wer in PHP E-Mails verschicken möchte, kann das per mail() oder SMTP und fsockopen() machen. Wer ein bestehendes Mail-Konto wie zum Beispiel Google Mail verwenden möchte, kann letztere Option wählen.

Speziell bei Google Mail, aber auch anderen Diensten die TLS (manchmal auch SSL genannt) verwenden, muss man zwei Dinge beachten. Der Hostname bekommt ssl:// als Prefix und der Port ist 465 (oder 587, wie Google selbst schreibt).

ssl://smtp.gmail.com:465

Als ich vor einigen Jahren anfing, stand die Frage, welchen Domain-Namen ich nutzen wollte. Nach kurzem Überlegen fiel die Wahl auf stadtaus.com. Das war der eigene Name und die Domain war verfügbar.

Um Werbung für die eigenen Scripte zu machen, enthielt jedes Script am Fuß der Seite einen Link. "Powered by STADTAUS.com" stand da immer. Speziell beim Galerie-Script schien das keine so gute Idee zu sein. Da ich keinen Einfluss darauf habe, wer meine Scripte nutzt, ließ sich das Script irgendwann auf Porno-Seiten finden - inklusive Link zu stadtaus.com. Noch unangenehmer war die Sache mit dem Formular-Script und dem Einsatz desselben auf einer betrügerischen Website. Und das Datei-Download-Script wurde auf einer Crack-Seite verwendet. Man ließt ungern seinen eigenen Namen in solchen Zusammenhängen.

Also musste eine neue Domain her. Letzte Woche ging gentlesource.de an den Start und bringt auch gleich zwei neue Scripte mit. Mit dem Wegwerf-E-Mail-Script lassen sich temporäre E-Mail-Konten erstellen und mit dem Kurz-URL-Script kann man lange URLs passend machen für Twitter und E-Mail.

Aus dem Support Forum:

I must say it's the best voting script I've ever seen.

:-)

Ein Kunde ist mit seinem Terminplaner auf einen neuen Server umgezogen und hatte ein paar Probleme. Nachdem wir die gelöst hatten, kam folgende E-Mail.

WONDERFUL! You are amazing!! I cannot thank you enough. (If you only knew how much time I had spent trying to fix it, you would laugh!)

Nö, hätten wir nicht. Die Probleme waren nicht gerade trivial und für jemanden, der nicht täglich mit solchen Dingen zu tun hat, unlösbar. Hinzu kam eine merkwürdige Konfiguration des Servers und eine noch merkwürdigere Art und Weise, die Seite per SSL verschlüsselt aufzurufen. Die URL sah in etwa wie folgt aus, wobei example.com die Domain des Kunden darstellen soll:

https://p2.secure.hostingprod.com/@www.example.com/ssl/appointments/

Yahoo-Hosting eben. :-[]

Die meisten Kunden heißen wir äußerst gern Willkommen, denn sie sind nett und höflich. Es gibt jedoch einige wenige, die man am besten schnell wieder los wird, weil sie einem sonst den Spaß an der Arbeit verderben.

Im aktuellen Fall las sich die erste E-Mail noch völlig normal.

Sehr geehrte Damen und Herren,

Heute habe ich einen Link für die Vollversion erhalten. [...] Beim Aufruf erscheint nur eine leere Seite. [...] Was ist zu tun?

Freundliche Grüße

XYZ

Darauf unsere Antwort:

Haben Sie die Datei [...] im ASCII-/Text-Modus hochgeladen? Wenn Sie möchten, können Sie mir FTP-Zugangsdaten zusenden und ich sehe mir das mal an.

So ganz hundertprozentig war man mit der Antwort nicht zufrieden:

Da es vorher völlig problemlos funktionierte, [...], kann die Ursache nur in Ihrer Datei liegen.

Selbstverständlich haben wir im Ascii Text Modus hochgeladen.

Nein, wir stellen keinen Zugang zum Webspace zur Verfügung, da dort nicht nur 1 Seite liegt!

Hm, ohne FTP-Zugang wird's schwierig. Also nochmal nachgefragt.

> Da es vorher völlig problemlos funktionierte, [...] kann die
> Ursache nur in Ihrer Datei liegen.

Möglicherweise. Dieselbe Datei wird jedoch an alle Käufer des Scripts
ausgeliefert und bislang gab es keine Probleme damit.

> Nein, wir stellen keinen Zugang zum Webspace zur Verfügung, da dort
> nicht nur 1 Seite liegt!

Verständlich. Dann richten Sie mir doch bitte einen Zugang direkt zum Verzeichnis des Scripts ein (mit Beschränkung auf das Verzeichnis).

Dass Kunden eventuell Bedenken haben, Fremden ihre Zugangsdaten anzuvertrauen ist verständlich, aber darum kommt man eben nicht herum. Es gibt keine andere Möglichkeit, sich das Script auf dem Server anzusehen. Und um die restlichen Dateien auf dem Server auszuspionieren, benötigt man theoretisch keine Zugangsdaten. Das Script ist ja bereits auf dem Server und mit einer Hintertür im Script stünde der Server weit offen.

Nun ja. Der Kunde war wenig begeistert von der Antwort:

Das ist schön wenn es bei allen anderen funktioniert.
Herzlichen Glückwunsch!

Wir haben gerade beschlossen ein einfacheres Script zu verwenden und unsere 19 Euro in den Wind zu schreiben.
Das ist günstiger als uns mit inhaltlosen Mails zu beschäftigen!

Wir wünschen einen schönen Tag!

Glaube ich irgendwie nicht. ;-) Hier unsere Antwort:

> Wir haben gerade beschlossen ein einfacheres Script zu verwenden und
> unsere 19 Euro in den Wind zu schreiben.

Wir haben eine generelle 90-Tage Geld-zurück-Garantie. Davon profitieren
natürlich auch Sie. Ich habe soeben Ihre Bestellung storniert. Sie
sollten in Bälde Ihr Geld zurückerhalten. Schade, dass ich keine
Gelegenheit hatte, das Problem für Sie zu lösen.

Dass Spammer unsere Support-Foren versuchen vollzumüllen, ist nicht neu. Da gibt's Mittel gegen. Spammer neigen selten dazu, sich selbst zu bezichtigen. Trotzdem kam heute folgende E-Mail.

Betreff: Delete My Account! I Am A Forum Spammer! Re: Welcome to "Support Forum"

This account was solely created to automatically register and then spam as many forums as possible. The account created using this email address should be deleted immediately.

Thank you.

Fragt sich, welchen Sinn das haben soll. Im Netz ist dazu auch nichts zu finden.

Antwort auf eine Antwort im Support-Forum:

RALF THANX SO MUCH YOU ROCK DUDE!

B-)

In einer E-Mail schrieb uns jemand folgendes.

wir werden mit unserer groessten [...]-DATENBANK der WELT durch CYBERCRIME behindert.

Klingt ja ganz schön gefährlich. Bei einem kurzen Gespräch stellte sich heraus, dass man das Problem mit dem Blockieren von ein paar IP-Adressen regeln könnte. B-)

Eine Kundin überschreibt ständig ein von uns installiertes Script mit einer HTML-Datei. Nicht, dass uns das groß stört, aber irgendwann müsste es die Kundin doch Leid sein, uns ständig für die Reparatur zu bezahlen.

Da zeigt sich, dass es sich auch noch so kleinen Kundenprojekten lohnt, Sicherheitskopien der installierten Scripte anzufertigen.

In unserem News Script gibt es folgende Zeile:

$query = getenv('QUERY_STRING');

Auf dem Server des Kunden blieb $query jedoch leer. Die Ausgabe der Umgebungsvariable per echo funktionierte jedoch:

<?php echo getenv('QUERY_STRING'); ?>

Dank der Alternative $_SERVER['QUERY_STRING'] war das nicht weiter dramatisch. Merkwürdig ist es aber schon.

Wir wurden letztens mit der Installation des Comment Scripts beauftragt. Beim Aufruf der Seite kam mir diese recht bekannt vor. Kurz nach dem Namen gesucht und tatsächlich. Der Kunde hatte vor rund einem halben Jahr schon einmal den Installationsservice für dasselbe Script bestellt.

Nachdem ich das seinerzeit installierte Script erneut hochgeladen hatte, funktionierte das Script sofort wieder. Die Datenbanktabellen waren also noch da. Im Admin-Bereich wartete jedoch eine Überraschung: Über 8.000 Spam-Kommentare. Kein Wunder, dass der Kunde die Notbremse gezogen hatte.

Ein Blick in die Einstellungen zeigte allerdings, dass keine der Anti-Spam-Einstellungen aktiv waren. Kein Akismet, keine Wörter-Blacklist, keine IP-Blacklist.

Zwei Dinge lernen wir daraus. Erstens, ohne Spam-Blocker geht heutzutage gar nichts. Und zweitens, man sollte sich nicht darauf verlassen, dass der Kunde sich um solche Sachen kümmert. Bei den folgenden Installationsaufträgen machen wir die entsprechenden Einstellungen wohl am besten gleich mit. :-)

Wer sowas macht, kann nicht erwarten, dass das Script bereit ist zu funktionieren. ;-)

We threw the kitchen sink at your script [...]

Finstere Gestalten treiben sich seit jeher auf unseren Kurz-URL-Seiten herum. Spammer, Phisher - das ganze Pack. Jetzt ist mal wieder einer völlig durchgedreht. Vor wenigen Wochen waren rund 20.000 URLs in der Datenbank. Kunden unseres Kurz-Url-Scripts hatten dasselbe Problem. Die Seite läuft schon eine Weile. Wenn's hoch kommt, kommen im Monat vielleicht 1.000 neue URLs hinzu.

Ein Blick in den Admin-Bereich der Seite zeigte jetzt, dass da einer Kurz-URLs ohne Ende produziert hat. Um das gesamte Ausmaß zu überblicken und in einem Rutsch zu entsorgen, haben wir mal einen Blick direkt auf die Datenbank geworfen:

SELECT *
FROM `twurl_url`
WHERE `url` LIKE '%redirectoffer%'
LIMIT 0 , 30

Und das Ergebnis:

Showing rows 0 - 29 (15,920 total, Query took 0.0534 sec)

Fast 16.000 URLs von dieser einen Domain. Das geht ja gar nicht. Ruckzuck alle Einträge gelöscht und die Domain auf die Blacklist gesetzt. Bis dann die nächste Domain dran ist.

Zwei Bugs haben es nötig gemacht, ein Update des Short URL Scripts zu veröffentlichen. Folgende Änderungen bringt es mit sich:

• Bugfix: Löschen einer URL mit dem Identifier 0 ist jetzt möglich (Admin-Bereich)
• Bugfix: Löschen der Suche ist jetzt möglich (Admin-Bereich)
• Nach dem Erstellen einer Kurz-URL wird ein Twitter-Link angezeigt

Auf Grund der örtlichen Gegebenheiten muss der Paketbote hier etwas Geduld mitbringen, bis man ihm seine Fracht abnimmt. Ab und zu passiert es, dass er fast schon wieder weg ist.

Die letzten beiden Male aber stand der Paketbote zwar noch vor der Tür, kritzelte aber auf seinem "Gameboy" herum und drückte mir das Paket in die Hand. Ohne Unterschrift.

Und heute saß der Paketbote schon wieder in seinem Auto und deutete nur noch auf das Paket, das er auf den Briefkasten gelegt hatte. Sehr effizient. Was kommt beim nächsten Mal?