メールフォームで謎の（不正なアタックか？）メールを受信したことについて

Question

お世話になります。

何とぞ、ご教授くださいませ。

自作したホームページに設置しているメールフォームを利用し、昨日の4：30頃に謎の配信がありました。

しかも、そのメールフォームは
１入力
２確認（入力に不備があれば、このページでエラー）
３送信完了

のページに分かれており、例えば氏名など必須項目が
１画面で入力されていなければ、２画面でエラーが表示され、何もエラーがなければ、
３画面に進み、メール送信
エラーがあれば、３画面に進めずメール送信ができない仕様にもかかわらず、
入力項目（氏名やフリガナなど）が全て何も入力されていない空の状態で、メールを受信しました。

外部から、不正なアタックがされているのでしょうか？

使用しているサーバーはロリポップのレンタルサーバーですが、
以前ＶＰＳサーバーを使用していた時も過去に１回だけ同じような不可解な現象がありました。

もし、不正な悪意のあるアタックなのであればどのような対応をとると良いでしょうか？

Answer 1

結果から考えて攻撃されたと見ていいと思いますが、詳しい攻撃の内容はここの情報ではわかりません。
ですが、すぐできる対策として幾つか案がありますので、検討してみてください。
案１： ３のメール送信のところで一つずつ項目をチェックするようにする
案２： CAPTCHAをつけてロボットの場当たり的な攻撃を回避
案３： 海外（攻撃の多い国）からのアクセスを遮断

Comments

[youten]

oskbt様

ありがとうございます。
案について、対策してみます。
今後とも、宜しくお願いいたします。

Answer 2

何も対策をしてないのであれば...
ページ「1 入力」 のフォームをコピって action先を 「3 送信完了」に変えてやれば
値をチェックせずに送信できますね。

トークンを使うなどで 対策は可能ですが...。

Comments

[youten]

pac894398様

お返事を頂き、ありがとうございます。
もう少し勉強してみます。
今後とも、宜しくお願いします。

Answer 3

おおかた、CSRFによる攻撃でしょうね。

Comments

[youten]

kousuke_shibuya様

お返事をありがとうございます。
早速ですが、調べましたところ、一応
２確認画面で、
$_SESSION['token'] = session_id();
のように、tokenを発行しておりまして、
３送信画面では、
if ($_SESSION['token'] != $_POST['token']) {
echo "正しい送信ではありません";

}else{
　※tokenが一致したら処理

==
のように、対策を行っておりましたが、不十分でしょうか？
一応、３送信画面にダイレクトにアクセスした場合、
「正しい送信ではありません」と表示され、メールが送信されることはありません。

度々大変恐縮ですが、何卒よろしくお願いいたします。

[退会済みユーザー]

情報が少ないから、これ以上の推測なんてできません。CSRFだって一つの可能性にすぎませんから。
普通サーバの管理者ならログを真っ先に調べるでしょう。

[youten]

kousuke_shibuya様

お返事を頂き、ありがとうございます。
ログの件も、もう少し勉強してみます。
今後とも、宜しくお願いします。