使用 PHP 的 IMAP 库触发卡巴斯基的防病毒软件

Question

我今天刚刚开始使用 PHP 的 IMAP 库，当调用 imap_fetchbody 或 imap_body 时，它会触发我的卡巴斯基防病毒软件。这些病毒是Trojan.Win32.Agent.dmyq和Trojan.Win32.FraudPack.aoda。我正在使用 XAMPP 和 Kaspersky AV 的本地开发机器上运行它。

现在，我确信那里有病毒，因为盒子里有垃圾邮件（现在谁不需要伟哥或维柯丁？）。我知道，由于原始身体包含执着和不同的哑剧类型，所以身体里可能有不好的东西。

所以我的问题是：使用这些库有什么风险吗？

我假设 IMAP 功能正在检索正文，将其缓存到磁盘/内存，并且 AV 扫描它看到的数据。

这是正确的吗？使用这个库是否存在任何已知的安全问题（我找不到任何问题）？它是否完美地清理了缓存的消息部分，或者病毒文件可能位于某处？

还有比这更好的方法从正文中获取纯文本吗？现在我正在使用以下代码（归功于 Kevin Steffer）：

function get_mime_type(&$structure) {
   $primary_mime_type = array("TEXT", "MULTIPART","MESSAGE", "APPLICATION", "AUDIO","IMAGE", "VIDEO", "OTHER");
   if($structure->subtype) {
       return $primary_mime_type[(int) $structure->type] . '/' .$structure->subtype;
   }
       return "TEXT/PLAIN";
}

function get_part($stream, $msg_number, $mime_type, $structure = false, $part_number = false) {

   if(!$structure) {
      $structure = imap_fetchstructure($stream, $msg_number);
   }
   if($structure) {
      if($mime_type == get_mime_type($structure)) {
          if(!$part_number) {
              $part_number = "1";
          }
          $text = imap_fetchbody($stream, $msg_number, $part_number);
          if($structure->encoding == 3) {
              return imap_base64($text);
          } else if($structure->encoding == 4) {
              return imap_qprint($text);
          } else {
              return $text;
          }
      }

      if($structure->type == 1) /* multipart */ {
          while(list($index, $sub_structure) = each($structure->parts)) {
              if($part_number) {
                  $prefix = $part_number . '.';
              }
              $data = get_part($stream, $msg_number, $mime_type, $sub_structure,$prefix .    ($index + 1));
              if($data) {
                 return $data;
              }
          } // END OF WHILE
       } // END OF MULTIPART
   } // END OF STRUTURE
   return false;
} // END OF FUNCTION

$connection = imap_open($server, $login, $password);
$count      = imap_num_msg($connection);
for($i = 1; $i <= $count; $i++) {
   $header  = imap_headerinfo($connection, $i);
   $from    = $header->fromaddress;
   $to      = $header->toaddress;
   $subject = $header->subject;
   $date    = $header->date;
   $body    = get_part($connection, $i, "TEXT/PLAIN");
}

Answer 1

看来你的猜测是准确的。 IMAP 本身没问题。你对其中内容所做的事情就是危险的。

病毒电子邮件的危险在于用户可能会打开 .exe 附件或其他内容，因此要检查的是不良附件和潜在的邪恶 HTML。只要您处理附件的代码不告诉用户打开它们，并且这只是自动处理或其他什么，您就可以开始了。如果您打算输出 HTML 内容，请务必使用 HTML Purifier 之类的工具。

Answer 2

反病毒软件很可能在这些签名通过网络堆栈时检测它们。您应该能够从卡巴斯基向您提供的消息中辨别检测的来源。