« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (11)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

lopagyLal on Monday, August 3, 2026 at 22:01

Если вы ищете простой способ подработки в интернете без вложений и специальных навыков, стоит обратить внимание на сервис SerfBest — платформу для выполнения несложных онлайн-заданий. Суть работы проста: вы выполняете короткие задачи — посещаете сайты через поисковик, проходите регистрации — и получаете за это оплату. Вознаграждение варьируется от нескольких копеек до ста рублей в зависимости от сложности, а среднее задание занимает около минуты и приносит порядка двух рублей. Подробности и регистрация доступны на <a href=https://serfbest.ru/>https://serfbest.ru/</a>, где можно сразу приступить к заработку. Приятным бонусом служит реферальная программа: приглашая новых пользователей, вы получаете процент от их заработка, причём эти средства начисляются платформой и не списываются у приглашённых. Конечно, речь не идёт о больших суммах, однако при регулярной работе и совмещении с аналогичными ресурсами доход становится ощутимым и стабильным.

wobiyhPoese on Monday, August 3, 2026 at 22:48

Быстрая и удобная публикация новостей — задача, которую ежедневно решают пресс-службы, медиа-агентства и корпоративные коммуникаторы по всей стране. Сервис AUTOMU.RU предлагает именно то, чего не хватает профессионалам медиарынка: мгновенное размещение материалов с автоматической дистрибуцией в информационное пространство. Платформа <a href=https://automu.ru/>https://automu.ru/</a> позволяет компаниям, государственным структурам и их представителям публиковать пресс-релизы, новости и аналитические материалы без бюрократических проволочек. Удобный интерфейс, прозрачные условия и оперативная поддержка редакции делают этот сервис надёжным инструментом для тех, кто ценит скорость и охват в работе со СМИ.

ceduhstHorgo on Tuesday, August 4, 2026 at 04:06

Канал MIDNIGHT VEIL на платформе <a href=https://www.youtube.com/@808MusicChannel>https://www.youtube.com/@808MusicChannel</a> представляет собой уникальное музыкальное пространство для ценителей атмосферного звучания и глубоких эмоций. Здесь собрана коллекция треков, идеально подходящих для ночных размышлений, долгих поездок и моментов уединения. Канал специализируется на liquid drum and bass, atmospheric electronic music и ambient композициях, создавая неповторимую звуковую палитру городских пейзажей и ночной меланхолии. С аудиторией в 173 подписчика и растущей библиотекой из 28 видео, проект активно развивается, предлагая качественный контент для тех, кто ищет музыку с душой и настроением.

lanacurAsync on Tuesday, August 4, 2026 at 04:33

BIN (Bank Identification Number) — это первые шесть цифр номера банковской карты, по которым можно мгновенно определить банк-эмитент, страну выпуска, платёжную систему и тип карты. Такая проверка полезна при онлайн-покупках, верификации платежей и защите от мошенничества. Подробный разбор темы с удобным онлайн-инструментом доступен на сайте <a href=https://kreditnaya-karta.com/bin-karty-i-bin-checker-chto-eto-takoe-i-kak-opredelit-bank-i-stranu-po-nomeru-karty/>https://kreditnaya-karta.com/bin-karty-i-bin-checker-chto-eto-takoe-i-kak-opredelit-bank-i-stranu-po-nomeru-karty/</a> — здесь вы узнаете, как работает BIN-checker и какую информацию он выдаёт. Важно помнить, что BIN не раскрывает персональные данные владельца: ни имя, ни баланс, ни CVV-код остаются недоступны.

yacxtRip on Tuesday, August 4, 2026 at 11:05

Looking for <a href=https://swapslist.io/>crypto trading pairs</a>? Check out swapslist.io - SwapsList is designed to help users review and compare cryptocurrency exchange services prior to selecting the best place to trade digital assets. The site focuses on practical exchange factors: KYC regulations, registration requirements, supported coins, available networks, expected speed, rate type, fees, fiat routes, and wallet payout flow. Use the list to compare direct swap services, aggregators, and online exchange options.

rotijeethdob on Tuesday, August 4, 2026 at 14:08

Остекление балкона — один из самых эффективных способов добавить квартире полезные квадратные метры и заметно повысить комфорт. Современные профильные системы обеспечивают отличную тепло- и шумоизоляцию, а грамотный монтаж гарантирует долгий срок службы конструкции. Компания «Окно-777» выполняет остекление балконов и лоджий под ключ в Москве — от замера до финишной отделки. Подробности, расчёт стоимости и актуальные акции доступны на сайте <a href=https://okno-777.ru/osteklenie-balkonov/>https://okno-777.ru/osteklenie-balkonov/</a> — там же можно оформить рассрочку 0% на шесть месяцев. Специалисты работают с проверенными материалами, а ухаживать за готовым остеклением предельно просто: достаточно протирать профиль мягкой тканью и раз в год смазывать фурнитуру.

panesyFex on Tuesday, August 4, 2026 at 15:03

Villeroy & Boch — это имя, которое уже более 275 лет олицетворяет европейское мастерство и безупречный вкус. Бренд с богатейшей историей предлагает премиальную сантехнику и решения для ванных комнат, где каждая деталь продумана до совершенства. Элегантные ванны, функциональные душевые поддоны, стильные кухонные мойки и готовые интерьерные решения — всё это доступно в официальном интернет-магазине <a href=https://xn--b1agifiawp.xn--p1ai/>https://xn--b1agifiawp.xn--p1ai/</a> с доставкой по Москве и России. Оригинальная продукция сочетает в себе эстетику, комфорт и долговечность, превращая обычное пространство в место истинного удовольствия.

cugacarren on Tuesday, August 4, 2026 at 16:55

Если вы планируете путешествие по Тихоокеанскому побережью США или просто хотите изучить географию этого удивительного региона, вам пригодится качественный картографический ресурс. На сайте <a href=https://pacific-map.com/>https://pacific-map.com/</a> собраны подробные карты штатов, автодорог и городов западного побережья Америки — от солнечной Калифорнии до живописного Орегона и штата Вашингтон. Здесь можно найти информацию о крупных мегаполисах вроде Лос-Анджелеса и Сан-Франциско, а также о небольших городках, которые часто остаются за пределами стандартных путеводителей. Ресурс будет полезен как при подготовке автомобильного маршрута, так и для общего знакомства с регионом.

podeBof on Wednesday, August 5, 2026 at 02:16

Looking for <a href=https://swaptoken.io/>service for fast trx exchange</a>? Visit swaptoken.io - we offer fast swaps for 150+ cryptocurrencies in 1-15 minutes. We support both fixed and floating rate options, and standard routes require no sign-up and no KYC verification. Flexible limits range from $20 to $150,000 equivalent. Every important exchange detail is shown to you in advance directly in the form, and the only fee you pay beyond the platform is the sender's network fee.

biyggrees on Wednesday, August 5, 2026 at 05:27

Московская типография предоставляет широкий выбор полиграфических решений с быстрой реализацией проектов. Профессиональная печать документов, визиток, баннеров и другой продукции на сайте <a href=https://samray.ru/>https://samray.ru/</a> доступна по конкурентным ценам. Клиенты отмечают высокое качество работы, соблюдение сроков и индивидуальный подход к каждому заказу, включая доставку в другие города.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: