| « Displaying Chinese UTF-8 characters in gvim on Windows | Prosper's insecure bank account management feature » |
$_SERVER['PHP_SELF'] and cross-site scripting
Monday, May 20, 2013
It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.
For example, consider the following foo.php:
<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
<!-- ...form elements... -->
</form>
If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.
But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:
<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
<!-- ...form elements... -->
</form>
This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:
- Use
$_SERVER['SCRIPT_NAME']instead of$_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker. - Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.
By the way, this was pretty surprising behavior to me for two reasons:
- The documentation of PHP_SELF is misleading: The first sentence says:
It seems odd that PHP would refer to something likeThe filename of the currently executing script, relative to the document root.
/foo.php/"><script>alert('hello');</script>as a "filename." - It's pretty bizarre default behavior that PHP will execute
/foo.phpfor a request of/foo.php/bar/baz.
Comments
RobinDig on Thursday, July 16, 2026 at 22:55
The official telegram bot for connecting 1xbet agents in Arabic <a href="https://www.are.na/block/47971071">1xbet agent telegram</a>
RobinDig on Thursday, July 16, 2026 at 22:58
The official telegram bot for connecting 1xbet agents in Arabic <a href="https://sites.google.com/view/1xbet-agent-telegram/">1xbet agent telegram</a>
RobinDig on Thursday, July 16, 2026 at 23:05
The official telegram bot for connecting 1xbet agents in Arabic <a href="https://share.evernote.com/note/20428a86-a193-eb1e-0435-796b152f52e1">1xbet agent telegram</a>
RobinDig on Thursday, July 16, 2026 at 23:58
The official telegram bot for connecting 1xbet agents in Arabic <a href="https://share.evernote.com/note/20428a86-a193-eb1e-0435-796b152f52e1">1xbet agent telegram</a>
RobinDig on Friday, July 17, 2026 at 00:05
The official telegram bot for connecting 1xbet agents in Arabic <a href="https://boosty.to/billyhumor247/posts/33620a7c-1f65-47bc-a1aa-b2e2aa393730">1xbet agent telegram</a>
kakizewlen on Friday, July 17, 2026 at 05:18
Travelpayouts — партнёрская платформа для тех, кто хочет монетизировать контент о путешествиях. Сервис предлагает готовые инструменты: текстовые ссылки, виджеты и баннеры для размещения без навыков программирования. Главное преимущество — мгновенный старт работы без ожидания модерации аккаунта. Платформа <a href=https://clck.ru/3CRSp6>https://clck.ru/3CRSp6</a> предоставляет детальную статистику по кликам и бронированиям, а также бесплатное обучение через Академию Travelpayouts с вебинарами и курсами по партнёрскому маркетингу. Техподдержка отвечает в течение нескольких часов, помогая разобраться с настройками и размещением материалов.
lusinivisse on Friday, July 17, 2026 at 05:26
Ищете <a href=https://yogajourney.ru/>йога ретрит</a>? Откройте мир йоги и путешествий на сайте yogajourney.ru. У нас большой выбор йога-туров, авторских путешествий, ретритов и семинаров. Только надёжные организаторы и эксклюзивные предложения. Загляните на сайт и выберите лучший тур для себя! Мы поможем воплотить ваши мечты в незабываемые путешествия! Не смогли выбрать тур из огромного разнообразия? Составим персональный маршрут с учётом всех ваших пожеланий. Yoga Journey — это лучшие йога-туры как по России, так и по всему миру!
vokenreect on Friday, July 17, 2026 at 05:32
Компания Star Motors предлагает услуги по выбору и доставке проверенных машин с японских и корейских аукционов. Опытные специалисты помогут выбрать машину под ваши требования, проверят техническое состояние и организуют доставку. На сайте <a href=https://starmotors.biz/>https://starmotors.biz/</a> представлен каталог доступных авто с детальными описаниями. Покупатели высоко оценивают честность работы и компетентность сотрудников.
wonusQuese on Friday, July 17, 2026 at 06:03
Japan Expert профессионально занимается поиском и доставкой надежных японских машин для российских покупателей. Эксперты организуют покупку проверенного автомобиля через аукционы с юридической защитой интересов клиента. Все услуги представлены на <a href=https://japanexpert.ru/>https://japanexpert.ru/</a> с подробным описанием процесса покупки и доставки. Клиенты получают прозрачные условия работы и гарантию безопасности каждой транзакции.
nasiruyNep on Friday, July 17, 2026 at 06:47
Велакаст — современный индийский дженерик для борьбы с хроническим гепатитом С, содержащий софосбувир и велпатасвир в клинически подтвержденных дозировках. Препарат демонстрирует высокую эффективность при лечении различных генотипов вируса, обеспечивая выздоровление у большинства пациентов за стандартный курс терапии. На информационном портале <a href=https://velakast.org/>https://velakast.org/</a> представлены подробные инструкции по правильному заказу оригинального препарата, методы проверки подлинности и защиты от подделок, а также экспертные материалы о гепатите С с отзывами пациентов и ответами на актуальные вопросы для безопасного и результативного лечения.
zinumiSkype on Friday, July 17, 2026 at 06:51
«Академия мебели Сибвитрина» выпускает мебель и торговое оборудование в городах Кемерово и Новокузнецк. За 20 лет работы и более 18000 довольных клиентов накоплен серьёзный опыт. Подробности на сайте <a href=https://sibvitr.ru/>https://sibvitr.ru/</a> — витрины, стеллажи, стойки, офисная и домашняя мебель под ваши задачи. Изготовление от 7 дней, замер и дизайн-проект бесплатно, гарантия 12 месяцев.
volaboyglast on Friday, July 17, 2026 at 07:10
Компания «Вальц Проф» специализируется на производстве и продаже высококачественных стальных профилей, предлагая широкий ассортимент продукции для строительства и отделки: фасадно-перегородочные системы из оцинкованной и нержавеющей стали, профили серий ВП150, ВП165, ВП250 и ВП372 с терморазрывом, профильные трубы, штапики для крепления стекла. На сайте <a href=https://waltzprof.com/>https://waltzprof.com/</a> представлены также самоклеящиеся уплотнители различных сечений, автоматические Smart-пороги серии LDM и скрытые петли для дверей — всё необходимое для профессионального монтажа современных конструкций по выгодным ценам с доставкой.
RobinDig on Friday, July 17, 2026 at 09:03
The official 1xbet agent registration service in Arabic in Morocco, Jordan, Tunisia, Egypt and other countries <a href="https://www.iyap360.com/forum/topic/How-Can-You-Become-a-1xBet-MobCash-Agent-.htm">https://www.iyap360.com/forum/topic/How-Can-You-Become-a-1xBet-MobCash-Agent-.htm</a>
RobinDig on Friday, July 17, 2026 at 09:06
The official 1xbet agent registration service in Arabic in Morocco, Jordan, Tunisia, Egypt and other countries <a href="https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents">https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents</a>
RobinDig on Friday, July 17, 2026 at 09:13
The official 1xbet agent registration service in Arabic in Morocco, Jordan, Tunisia, Egypt and other countries <a href="https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents">https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents</a>
RobinDig on Friday, July 17, 2026 at 10:03
The official 1xbet agent registration service in Arabic in Morocco, Jordan, Tunisia, Egypt and other countries <a href="https://www.globalfreetalk.com/forums/thread/2232/">https://www.globalfreetalk.com/forums/thread/2232/</a>
RobinDig on Friday, July 17, 2026 at 10:10
The official 1xbet agent registration service in Arabic in Morocco, Jordan, Tunisia, Egypt and other countries <a href="https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents">https://megagrass.com/community/question-and-answer/forums/4133-general-questions/topics/3671617-how-i-found-more-information-about-1xbet-mobcash-agents</a>
Add a comment
Archives
2024
- September (1)
- March (1)
2023
- April (1)
2021
- February (2)
2020
- March (1)
- January (1)
2018
- April (1)
- March (1)
2017
- February (1)
2015
- March (1)
2014
- June (1)
- May (1)
- March (1)
2013
- December (1)
- May (1)
- April (1)
- March (2)
2012
- December (1)
- September (1)
- August (3)
- July (1)
- February (1)
- January (1)
2011
- December (1)
- June (1)
- April (1)
- March (1)
- January (2)
2010
- December (1)
- November (4)
- October (1)
- June (2)
- May (1)
- March (1)
- February (2)
- January (2)
2009
- December (4)
David Annis on Wednesday, June 25, 2014 at 06:32
I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.