Escape низ за използване в mail()

Идеята зад имейл инжектирането е, че атакуващият инжектира подаване на ред (LF) в заглавките на имейла и така добавя толкова заглавки, колкото иска. Премахването на тези линии ще ви защити от тази атака. За подробна информация проверете http://www.phpsecure.info/v2/article/MailHeadersInject.en.php

Най-добрата практика е да разчитате на добре написан, често актуализиран и широко използван код. За това предлагам да използвате PEAR_MAIL ИЛИ Zend_Mail

Ако не искате да зареждате тези модули или трябва да поддържате нещата много прости. Можете да извлечете функцията за филтриране от тези модули. Въпреки че препоръчвам да ги използвате и често да актуализирате библиотеката, така че ако се появи нова атака в бъдеще, просто ще трябва да актуализирате библиотеката си (Pear или Zend) и сте готови.

Това е функцията, която дезинфекцира заглавките в пакета Pear Mail:

function _sanitizeHeaders(&$headers)
{
    foreach ($headers as $key => $value) {
        $headers[$key] =
            preg_replace('=((<CR>|<LF>|0x0A/%0A|0x0D/%0D|\\n|\\r)\S).*=i',
                         null, $value);
    }
}

Zend_Mail използва различен филтър за имейл, име и други полета:

function _filterEmail($email)
{
    $rule = array("\r" => '',
                  "\n" => '',
                  "\t" => '',
                  '"'  => '',
                  ','  => '',
                  '<'  => '',
                  '>'  => '',
    );

    return strtr($email, $rule);
}

function _filterName($name)
{
    $rule = array("\r" => '',
                  "\n" => '',
                  "\t" => '',
                  '"'  => "'",
                  '<'  => '[',
                  '>'  => ']',
    );

    return trim(strtr($name, $rule));
}

function _filterOther($data)
{
    $rule = array("\r" => '',
                  "\n" => '',
                  "\t" => '',
    );

    return strtr($data, $rule);
}