artyom_256 Jun 24 2012 at 13:08

Особенности обработки HTML-писем

3 min

42K

CSS*

+42

Comments 19

kafeman Jun 24 2012 at 13:17

Нет почты на mail.ru, по этому не могу проверить. Что будет если

<b style="display:block;position:absolute;left:0;top:0;width:100%;height:100%;background-color:red;font-size:36px;">Отправьте SMS на короткий номер...</b>

Ведь все стили проходят, если я правильно понял?

ertaquo Jun 24 2012 at 13:39

Пока удалось обнаружить, что под запрет попадает position: absolute.

kafeman Jun 24 2012 at 13:46

Это было добавлено уже после, см. обсуждение ниже ↓

artyom_256 Jun 24 2012 at 13:27

Вот результат:

<b style="display:block;;width:100%;height:100%;background-color:red;font-size:36px;" id="mailru-webagent-gen-43">Отправьте SMS на короткий номер...</b>

Да, positon: absolute, и всё что с ним связано не пропускает.

kafeman Jun 24 2012 at 13:32

В таком случае поправьте топик — фильтрация стилей в mail.ru все-таки есть.

artyom_256 Jun 24 2012 at 13:35

Поправил.

artyom_256 Jun 24 2012 at 13:33

Mail.ru обрабатывает теги по принципу «всё разрешено, что явно не запрещено».
Yandex.ru и Gamil.com — по принцпу «всё запрещено, что явно не разрешено».

Пробовал подставлять несуществующие правила css, mail.ru их пропускает.

UFO just landed and posted this here

artyom_256 Jun 24 2012 at 13:41

<div background="http://***/templates/default/images/background.png" style="min-height:100px;background-color:#e1e1e4;background:url('http://***/templates/default/images/background.png') 50% 50% fixed no-repeat;color:#fff;font-family:Calibri;font-size:14px;line-height:1.22">

Это со страницы письма. Тема у меня стоит.

UFO just landed and posted this here

kafeman Jun 24 2012 at 13:45

У кого есть IE6 и почта на mail.ru пробуем еще так:

<b style="background-image:url(javascript:alert('HabraHabr'))">Ха-ха-ха!</b>

Или так: (должно работать и в IE7)

<b style="width:expression(alert('HabraHabr'));">Ха-ха!!!</b>

artyom_256 Jun 24 2012 at 13:51

В IETester, режим IE6, под письмом:

ВНИМАНИЕ!
Данное письмо содержит потенциально опасный HTML-код, заблокированный системой безопасности.
Возможно, оно отображается неправильно.

artyom_256 Jun 24 2012 at 13:52

javascript:*** не пропускает система безопасности.

kafeman Jun 24 2012 at 13:58

OK, пробуем так:

<b style="background-image:url(&#1;JaVaScRiPt:AlErT('Habr'))">qwerty</b>

Или так:

<b style="background-image:\0075\0072\006C\0028'\006a\0061\0076\0061\0073\0063\0072\0069\0070\0074\003a\0061\006c\0065\0072\0074\0028.1027\0058.1053\0053\0027\0029'\0029">test</b>

Прошу прощения, что засоряю комментарии к топику.

naum Jun 24 2012 at 14:06

Выложите скрипт, давайте пошерстим интересные варианты, ибо особенность mail.ru не может не радовать с точки зрения возможных косяков.

artyom_256 Jun 24 2012 at 21:57

Скрипт простейший. Я использую PHPMailer, просто отправляю через него письмо. Что-то вроде этого:


$users = array(...);

foreach($emails as $email)
{
	try{
		$mail = new PHPMailer(true);
		$mail->AddAddress($email);
		$mail->SetFrom('me@me.org', 'I am');
		$mail->Subject = $title;
		$mail->MsgHTML(file_get_contents('mail.html'));
		$mail->CharSet = 'utf-8';
		$mail->IsHTML(true);
		$mail->Send();
	}catch(Exception $e){}
}

artyom_256 Jun 24 2012 at 21:58

Извиняюсь)

$users = array(...);

foreach($emails as $email)
{
try{
$mail = new PHPMailer(true);
$mail->AddAddress($email);
$mail->SetFrom('me@me.org', 'I am');
$mail->Subject = $title;
$mail->MsgHTML(file_get_contents('mail.html'));
$mail->CharSet = 'utf-8';
$mail->IsHTML(true);
$mail->Send();
}catch(Exception $e){}
}

kafeman Jun 24 2012 at 14:21

Ах да, чуть не забыл! vbscript же есть :-)

Не уверен, что будет работать, но попробовать стоит:

<b style="background-image:url(vbscript:msgbox('HabraHabr'))">Ха-ха-ха!</b>

valodka Jun 27 2012 at 14:03

В Mail.ru вырезаются тег <style>, атрибут class и атрибуты событий (onclick, onload и т.д.). Из атрибута style вырезаются все правила, связанные с позиционированием. К тому же у блока, в котором отображается тело письма, применено свойство overflow, поэтому «выйти» за пределы контейнера и перекрыть элементы интерфейся вряд ли получится.

Show the best of all time