« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (13)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

powenWeeri on Wednesday, October 21, 2026 at 16:50

Надежная изоляция оконных проемов существенно уменьшает расходы на отопление и отсекает шум мегаполиса. Предприятие выпускает прочные ПВХ-системы с качественными механизмами и теплосберегающими стеклами. Оформить быстрый расчет стоимости позволяет сервис <a href=https://okno-777.ru/>https://okno-777.ru/</a> для точного подбора комплектации под ключ. Штатные специалисты оперативно монтируют изделия строго по стандартам качества с официальной гарантией.

bexitirtGOt on Wednesday, October 21, 2026 at 17:39

Ищете экспертные решения в сфере кибербезопасности, проверки защищенности аккаунтов или восстановления доступа? На форуме <a href=https://hackerlive.biz/threads/uslugi-xakera-udalennyj-dostup-vzlom-soc-setej-votsap-telegram-i-mnogoe-drugoe-bolshoj-opyt.78/page-7>https://hackerlive.biz/threads/uslugi-xakera-udalennyj-dostup-vzlom-soc-setej-votsap-telegram-i-mnogoe-drugoe-bolshoj-opyt.78/page-7</a> квалифицированные специалисты с внушительным опытом предлагают помощь по аудиту мессенджеров, социальных сетей и удаленных систем.

cucimrtMot on Wednesday, October 21, 2026 at 19:55

Сетевое издание «Женщина истина» публикует практичные материалы о моде, красоте, здоровье, психологии, семье и воспитании детей. На портале <a href=https://womontrue.ru/>https://womontrue.ru/</a> советы дают практикующие психологи и врачи. Вместо общих фраз читательница получает пошаговые инструкции: как собрать базовый гардероб после 30, выбрать аппарат для ухода за кожей или выучить с ребёнком таблицу умножения. Сайт зарегистрирован как СМИ и обновляется ежедневно.

jadipdinjuh on Wednesday, October 21, 2026 at 20:16

Когда нужно быстро собрать зал под праздник или деловую встречу, аренда мебели экономит время и бюджет. Сервис <a href=https://www.ideas4rent.ru/>https://www.ideas4rent.ru/</a> предлагает стулья, столы, пуфы, шатры и оборудование по Москве с доставкой по России: более пяти тысяч позиций, гибкие тарифы со второго дня и круглосуточная поддержка. Каталог помогает оформить детский праздник, конференцию или фестиваль без лишних покупок.

jobavphBeimb on Wednesday, October 21, 2026 at 20:37

Школа-студия Юлии Бурдинцевой в Москве готовит парикмахеров с нуля и повышает квалификацию мастеров. Теория занимает три дня, затем студенты работают с клиентами под контролем преподавателей. Программы курсов и цены размещены на сайте <a href=https://j-center.ru/>https://j-center.ru/</a> вместе с видео занятий. Выпускники сдают экзамен, получают диплом и предложение работы в салонах школы.

socofaonZen on Wednesday, October 21, 2026 at 21:19

Служба экстренной медицины «Скорая 103» обеспечивает круглосуточную квалифицированную помощь при неотложных состояниях, оперативно выезжая по Москве и Подмосковью. На официальном ресурсе <a href=https://help.skoraya103.ru/>https://help.skoraya103.ru/</a> можно быстро вызвать реанимационную бригаду, заказать безопасную транспортировку пациентов или получить консультацию профильного врача высшей категории.

welacesjAr on Wednesday, October 21, 2026 at 21:33

В SMS PRO можно купить виртуальный номер для приёма SMS или готовый аккаунт Telegram. Сервис поддерживает более 600 площадок и 180 стран, а номер выдаётся мгновенно после оплаты. Заказать номер можно на сайте <a href=https://sms-pro.app/>https://sms-pro.app/</a> за пару минут без лишних шагов. При неполучении кода в отведённое время сумма автоматически возвращается на баланс. За три года сервис собрал свыше 1400 отзывов и дополнил Telegram-бот полноценным сайтом.

yoruscerm on Wednesday, October 21, 2026 at 23:58

С момента основания в 2003 году ИРИМЭКС обеспечивает заводы России и стран СНГ технологическим оборудованием и трубопроводной арматурой. Ищете <a href=https://www.irimex.ru/services/catalog/armatura/bohmer/>шаровые краны для трубопроводов</a>? Подробный каталог представлен на сайте irimex.ru — насосы, компрессоры, теплообменники, фильтры, горелки и КИПиА. Эксперты с двадцатилетним стажем возьмут на себя инжиниринг, монтажные работы и своевременную доставку.

lufaxihnElogy on Thursday, October 22, 2026 at 02:05

«Астория-СЛК» — производитель опалубки, который продает и сдает ее в аренду в Москве и других регионах страны. В наличии опалубка стеновая, для перекрытий, колонн и фундамента, а также комплектующие и строительные леса. Ищете <a href=https://opalubka.market/arenda_opalubki/arenda_opalubki_khsi/>аренда опалубки ХСИ</a>? Каталог и цены представлены на сайте opalubka.market с удобным калькулятором расчета. Заказчикам предлагаются аренда от десяти дней, бесплатный расчет комплекта и срочная доставка собственным автопарком.

feplohaime on Thursday, October 22, 2026 at 02:33

Ресурс мага Азала «Маг о магии» — это ценное собрание знаний о магии и непознанном. Тут вы найдёте только оригинальные публикации о ритуалах, ограждении от сглаза, чувствах и деньгах. Ищете <a href=https://magomagii.ru/silnyy-privorot-na-lyubov-kotoryy-nelzya-snyat/>сильный приворот на любовь</a>? Подробные материалы читайте на сайте magomagii.ru — автор делится опытом честно и по делу. Опытный практик поможет разобраться в сложной ситуации и подскажет верное решение.

fitofortVodia on Thursday, October 22, 2026 at 06:13

Эффективное наращивание качественной внешней ссылочной массы и комплексная поисковая оптимизация гарантированно выводят бизнес в топ органической выдачи. Профильный интернет-магазин <a href=https://seobomba.net/shop/>https://seobomba.net/shop/</a> предлагает надежные крауд и статейные ссылки с авторитетных ресурсов, аудит проектов и готовые пакеты продвижения для стабильного роста позиций сайта в Яндексе.

zepusamlof on Thursday, October 22, 2026 at 11:58

Покупка или продажа жилья в Подмосковье требует безупречной юридической точности, и агентство «Гарант Плюс», успешно работающее с 1998 года в Балашихе и Железнодорожном, выступает надежным проводником на этом рынке. Изучив актуальную базу проверенных объектов на <a href=https://garant-plus.ru/>https://garant-plus.ru/</a> - клиенты получают полное экспертное сопровождение любых сложных сделок с гарантией безопасности.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: