« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (17)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

palopwocky on Monday, March 9, 2026 at 00:53

Московское медучреждение урологии и андрологии доктора Ониса осуществляет всесторонние услуги по обнаружению и устранению болезней мочеполовых органов мужчин и женщин согласно передовым европейским методикам. В учреждении консультируют опытные доктора высшей категории и кандидаты медицинских наук с практикой свыше 20 лет, действует диагностическая лаборатория и физиокабинеты. Ищете <a href=https://www.onisclinic.ru/>лечение простатита</a>? Ознакомиться с услугами и записаться можно через www.onisclinic.ru круглосуточно онлайн. Врачи выполняют диагностику и лечение воспалений простаты, камней в почках, сексуальных расстройств, мужского бесплодия и патологий мочевого пузыря щадящими хирургическими методами.

cuxayttDek on Monday, March 9, 2026 at 01:58

Типография «повсюду» предлагает полный спектр полиграфических услуг в москве — от визиток и листовок до сувенирной продукции и наружной рекламы. Высокотехнологичная база позволяет реализовывать проекты любой сложности оперативно и качественно. Ищете <a href=https://povsyoudo.ru/>блокноты с логотипом москва</a>? Заказать печать можно на сайте povsyoudo.ru, где представлен полный каталог услуг с расчетом стоимости. Компания работает с индивидуальными макетами, предоставляет услуги дизайнера и доставку готовой продукции по москве и области.

jovemesok on Monday, March 9, 2026 at 02:08

Компания Arust реализует всесторонние сервисы по выбору и обслуживанию договоров с объектами жилой недвижимости в Ставропольском регионе. Эксперты агентства осуществляют правовую экспертизу объектов, оформляют бумаги, надзирают за ходом сделок и обеспечивают защиту расчётов. Ищете <a href=https://ar26.ru>риэлторские услуги в пятигорске</a>? Актуальные предложения представлены на ar26.ru с детальными характеристиками. Команда риэлторов работает с новостройками и вторичным рынком, консультирует по семейной и льготной ипотеке, публикует обновления законодательства о недвижимости и защищает интересы клиентов на всех этапах.

gudunhSam on Monday, March 9, 2026 at 03:14

Компания специализируется на профессиональных услугах высокого качества для развития вашего бизнеса. Команда опытных специалистов предлагает комплексный подход к решению задач любой сложности. Ознакомиться с полным спектром услуг можно на <a href=https://waltzprof.com/>https://waltzprof.com/</a> где представлена детальная информация о направлениях работы. Индивидуальный подход к каждому клиенту и использование современных технологий обеспечивают результат, превосходящий ожидания. Профессионализм и ответственность делают сотрудничество максимально эффективным.

qowudrkeymn on Monday, March 9, 2026 at 03:15

Сервис доставки питьевой воды работает для жителей Махачкалы и Каспийска с удобным мобильным приложением. В ассортименте представлены бутыли различного объема, кулеры, соки и консервация от проверенных производителей. Заказать воду можно на сайте <a href=https://voda-s-gor.ru/>https://voda-s-gor.ru/</a> или через приложение для смартфонов в любое удобное время. Быстрая доставка на дом и в офис, гибкая система скидок и качественный сервис делают сотрудничество максимально комфортным.

tobiviOpicy on Monday, March 9, 2026 at 05:43

Профессиональное оборудование для систем безопасности теперь доступно каждому благодаря интернет-магазину видеонаблюдения. Ассортимент включает IP-видеокамеры, регистраторы, видеодомофоны, охранные GSM-комплексы и весь необходимый перечень устройств для эффективного мониторинга. Полный ассортимент и актуальные цены на <a href=https://video-camer.ru/>https://video-camer.ru/</a> — магазин работает круглосуточно, обеспечивая оперативную доставку по Москве и всей России. Квалифицированные специалисты помогут подобрать оптимальное решение под любые задачи — от домашнего видеонаблюдения до комплексных систем безопасности коммерческих объектов.

copawCew on Monday, March 9, 2026 at 05:43

SD Service в Тюмени выполняет квалифицированное восстановление смартфонов, портативных компьютеров, планшетов и цифровой техники различной категории. Мастера производят восстановление электроники при владельце с применением сертифицированных комплектующих и профессионального инструментария. Ознакомиться с перечнем услуг можно на <a href=https://www.sdrem72.ru/>https://www.sdrem72.ru/</a> и записаться на диагностику. Центр гарантирует оперативное устранение неисправностей с выдачей официальных документов и warranty-обязательств на выполненные работы.

myxojdEnfon on Monday, March 9, 2026 at 07:12

Самый полный каталог саженцев и растений от Мартин-Сад <a href=https://www.martin-sad.ru/>https://www.martin-sad.ru/</a> это возможность купить по выгодной цене все виды растений и семян. Садовый центр в Москве - Мартин-Сад это крупнейший питомник в России. Также у нас большой каталог товаров для сада и садовая техника. Ознакомьтесь с действующими акциями, чтобы купить еще выгоднее!

paditamut on Monday, March 9, 2026 at 07:36

Платформа Займы-рф.рф соединяет клиентов с надёжными МФО и гарантирует оперативное зачисление средств на банковскую карту. Платформа работает круглосуточно без выходных, одобряет заявки за 2 минуты и переводит средства в течение 15 минут после подтверждения. Полная информация о процентных ставках и условиях представлена на <a href=https://xn----7sbujpz2a7c.xn--p1ai/>https://xn----7sbujpz2a7c.xn--p1ai/</a> в соответствующих разделах каталога. Необходим лишь российский паспорт, доступны суммы от 1 до 100 тысяч рублей сроком от недели до года, все параметры открыты и контролируются федеральными нормами.

hesutFaisp on Monday, March 9, 2026 at 07:38

Ищете запасные части для нефтегазового оборудования к буровым насосам и спецтехнике? Посетите сайт <a href=https://sogltorg.com/>https://sogltorg.com/</a> - мы также реализуем запасные части и расходные материалы к гусеничной, автомобильной и иной спецтехнике, а также сельхозтехнику. Соберите свой заказ прямо на сайте, а мы доставим прямо до вас по всей России и Казахстану. Мы всегда предлагаем самые выгодные и доступные цены!

gymyvapole on Monday, March 9, 2026 at 08:54

Поломка автомобиля в дороге или ДТП требуют быстрого решения — эвакуатора, который доставит машину в сервис или к месту стоянки. Служба ВИП Прокат в Кемерово предлагает услуги эвакуации легковых и грузовых автомобилей круглосуточно с минимальным временем подачи. Современные платформы и опытные водители гарантируют безопасную транспортировку без повреждений. Вызвать эвакуатор можно через <a href=https://vipprokat42.ru/evakuatory>https://vipprokat42.ru/evakuatory</a> Прозрачные тарифы, отсутствие скрытых доплат и оперативность делают сотрудничество максимально удобным в стрессовой ситуации.

gudunhSam on Monday, March 9, 2026 at 09:11

Компания специализируется на профессиональных услугах высокого качества для развития вашего бизнеса. Команда опытных специалистов предлагает комплексный подход к решению задач любой сложности. Ознакомиться с полным спектром услуг можно на <a href=https://waltzprof.com/>https://waltzprof.com/</a> где представлена детальная информация о направлениях работы. Индивидуальный подход к каждому клиенту и использование современных технологий обеспечивают результат, превосходящий ожидания. Профессионализм и ответственность делают сотрудничество максимально эффективным.

baucbob on Monday, March 9, 2026 at 10:35

Сервис цифрового саунд-продакшена <a href=https://generator-pesen.online/>https://generator-pesen.online/</a> предлагает генератор песен ИИ онлайн бесплатно для творчества любого уровня. Генератор песен ИИ онлайн бесплатно позволяет создать уникальную композицию за минуты — без музыкального образования и сложных программ. Достаточно ввести текст или задать стиль, и нейросеть подберёт мелодию, ритм, аранжировку и даже вокальную подачу. Сервис подходит для саундтреков, соцсетей, подкастов и рекламных роликов. Гибкие настройки жанра, темпа и настроения дают полный контроль над звучанием. Экспериментируйте со стилями — современные AI-технологии открывают новый уровень музыкального творчества и делают производство контента доступным каждому.

AllenmEm on Monday, March 9, 2026 at 11:47

A useful piece that does a good job summarizing key ideas <a href=http://power.ekafe.ru/posting.php?mode=post&f=2&sid=4da77c4f167c1c608abba5d19139dbd5>http://power.ekafe.ru/posting.php?mode=post&f=2&sid=4da77c4f167c1c608abba5d19139dbd5</a>

gocigwhamy on Monday, March 9, 2026 at 12:33

Завод ЗВО конструирует и выпускает автомобильные весовые платформы до 150 тонн, вагонные весы статического и динамического типа, конвейерные системы непрерывного взвешивания, платформенное оборудование из коррозионностойкой стали, бункерные весодозаторы и бортовые весы Monacs для фронтальных погрузчиков. Предприятие выполняет монтаж под ключ, строительство фундаментов и автоматизацию весовых комплексов для промышленных объектов любого масштаба. Подробную информацию о продукции, портфолио реализованных проектов и условиях сотрудничества можно найти на <a href=https://uzvo.ru/catalog/programmnoe_obespechenie_po/po_platformennye_vesy_zvo/>https://uzvo.ru/catalog/programmnoe_obespechenie_po/po_platformennye_vesy_zvo/</a> где представлены технические характеристики оборудования и формы заявок. Компания обслуживает заказчиков по всей России и СНГ с гарантией качества и сервисной поддержкой.

wawibBup on Monday, March 9, 2026 at 14:22

Мегапакс занимается сбытом полиэтиленовых емкостей и упаковочных материалов для фабрик и торговых структур с перевозкой до места хранения потребителя. Каталог включает пластиковые емкости объемом 48-227 л, канистры вместимостью 1-31,5 л, кубовые контейнеры 1000 литров и канистры для нефтепродуктов с системами заливки. Ищете <a href=https://megapaks.ru/>канистра пластиковая</a>? Детальную информацию и заказ можно оформить на megapaks.ru с индивидуальным расчетом стоимости. Организация принимает безналичные платежи с НДС и реализует новые изделия, а также качественную восстановленную тару по конкурентным расценкам для оптовых покупателей.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: