« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (19)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

jubemespoomy on Tuesday, February 3, 2026 at 05:39

Корисний кулінарний блог для жінок MeatPortal розповідає про різні рецепти смачних страв. У блозі <a href=https://meatportal.com.ua/>https://meatportal.com.ua/</a> ви знайдете корисні поради для домогосподарок, які хочуть спробувати приготувати нові страви, здивувати сім'ю та створити домашній затишок.

reronTuh on Tuesday, February 3, 2026 at 08:29

Ищете надежную CPA сеть партнерских программ? Посетите <a href=https://3snet.co/>https://3snet.co/</a> и вы сможете узнать с какими вертикалями работает 3snet на выгодных для вас условиях. Посмотрите все преимущества и высокие ставки по офферам на сайте, а также все о надежных рекламодателях, с которыми мы работаем. Онлайн-поддержка и консультации у нас 24/7, а выплаты строго по графику.

rijijeSkype on Tuesday, February 3, 2026 at 12:08

Ищете комплексное оснащение мультимедийным оборудованием конференц-залов, переговорных комнат, диспетчерских и ситуационных центров, концертных и актовых залов, учебных и лекционных аудиторий под ключ? Посетите сайт <a href=https://i-tec.ru/>https://i-tec.ru/</a> которая работает по всей России. Ознакомьтесь с нашими решениями и услугами. При необходимости посмотрите портфолио. Подробнее на сайте.

qudaranova on Tuesday, February 3, 2026 at 13:59

Еще не смотрели Очень странные дела? Посетите сайт <a href=https://strangerthings.work/>https://strangerthings.work/</a> и вы найдете все сезоны в отличном качестве, которые можно смотреть онлайн и бесплатно на нашем сайте. Этот сериал имеет огромную армию поклонников! Присоединяйтесь и вы к ним! Для тех кто любит паранормальные явления – сериал станет приятным способом провести время.

kiwukrShoni on Tuesday, February 3, 2026 at 17:17

Металлические лестницы и перила становятся визитной карточкой современного интерьера и экстерьера. Компания <a href=https://mastersmetall.ru/>https://mastersmetall.ru/</a> специализируется на производстве конструкций представительского класса с использованием лазерной резки и сварки. Услуги включают 3D-проектирование, визуализацию, порошковую покраску и профессиональный монтаж лестниц на второй этаж, навесов и козырьков. Работы выполняются под ключ с выездом замерщика на объект в Москве и Московской области. Гарантия качества и идеальная шлифовка обеспечивают долговечность изделий, а каталог предлагает решения для любых архитектурных задач.

kepuvsully on Wednesday, February 4, 2026 at 05:21

Русскоязычный туристический сервис <a href=https://vip-pattaya.ru/>vip-pattaya.ru</a> организует незабываемый отдых в Паттайе с 2012 года. Сервис включает свыше 100 туров по Таиланду и Камбодже — от экскурсий к храмам и в заповедники до яхтенных круизов и вечерних представлений. Бронирование всех туров происходит без аванса через телефон или интернет, туристическая страховка включена. Квалифицированные гиды из России, удобные автобусы и выгодные тарифы обеспечивают комфортное и надежное путешествие.

hofecWak on Wednesday, February 4, 2026 at 07:36

Сервис «Технетик» предоставляет полный спектр IT-услуг в Хабаровске: обслуживание компьютеров и ноутбуков, ремонт и прошивку смартфонов и планшетов, настройку Smart TV и ТВ-приставок, монтаж локальных сетей, организацию видеонаблюдения и разработку сайтов на WordPress. Профессионал с опытом работы более 15 лет устраняет неисправности любого уровня быстрее и по более низким ценам, чем официальные центры обслуживания. Подробную информацию об услугах и прайс-лист можно найти на <a href=https://xn--e1aajim2adv.xn--p1ai/>https://xn--e1aajim2adv.xn--p1ai/</a> Мастер выполняет установку программ, восстановление данных, настройку IPTV, прошивку устройств и удалённое администрирование с гарантией качества и индивидуальным подходом к каждому клиенту.

bubijdGar on Wednesday, February 4, 2026 at 07:43

Где математика встречает судьбу — так позиционирует себя сервис Numerio, и это не просто слова. Искусственный интеллект анализирует астрологические и нумерологические данные, создавая персональный отчёт о характере, финансах, здоровье и совместимости. То, на что у астролога уходят недели, бот делает за 15 минут. Подписчики Telegram-канала на <a href=https://numerio.ru/>https://numerio.ru/</a> получают бесплатную ректификацию времени рождения и пробные отчёты. Премиум-анализ судьбы стоит всего 1000 рублей — инвестиция в понимание себя.

bujajdDef on Wednesday, February 4, 2026 at 08:36

В самые трудные моменты жизни важна поддержка профессионалов, которые возьмут на себя все организационные вопросы. Похоронное бюро «Ритуал-Регион» в Ростове-на-Дону работает круглосуточно, предлагая полный спектр ритуальных услуг: от организации похорон и кремации до изготовления памятников из гранита и мрамора. На <a href=https://ritual-regions.ru/>https://ritual-regions.ru/</a> вы найдёте информацию о благоустройстве мест захоронения, услуге «Груз 200» и возможности рассрочки. Опытные агенты деликатно помогут в это непростое время.

zujappah on Wednesday, February 4, 2026 at 09:17

ORBIS Production <a href=https://orbispro.it/>https://orbispro.it/</a> is an award-winning full-service film, photo, and video production company based in Milan, operating across all of Italy with offices in Milan, Rome, and Venice. The company provides complete production support for international brands and agencies, including locations, permits, crewing, casting, equipment, logistics, and post-production. From concept development to final delivery, ORBIS Production delivers high-end commercial, corporate, and branded content throughout Italy.

sujibeBrown on Wednesday, February 4, 2026 at 09:44

Ищете <a href=https://studiogranite.ru/>гранитные памятники Донецк ДНР</a>? Обратитесь в Студию Гранита ДНР studiogranite.ru, чтобы заказать памятник из гранита на могилу в Донецке с установкой. Мы также оказываем услуги по облагораживанию мест захоронения, производству и окраске ограждений, укладке тротуарной плитки и другие работы. С полным перечнем наших услуг можно ознакомиться на веб-сайте. Специалисты помогут вам подобрать оптимальные решения.

kuheceVex on Wednesday, February 4, 2026 at 09:48

Замена старых деревянных окон на современные пластиковые — разумное решение для жителей Кирова, которое окупается уже в первую зиму. Компания «Экстра Окна» предлагает окна от проверенных производителей Rehau, Exprof, Plaswin и Veka с установкой под ключ. На <a href=https://okna-v-kirove.ru/>https://okna-v-kirove.ru/</a> вы найдёте актуальные цены со скидкой 10% до конца месяца. Пластиковые окна не требуют покраски, утепления, они энергосберегающие и просты в уходе. Бесплатный замер, немецкое качество, квалифицированные специалисты.

Peterglymn on Wednesday, February 4, 2026 at 11:43

It’s detailed without being overwhelming — very well written overall <a href=https://xclick.click/trista19n51620>https://xclick.click/trista19n51620</a>

MatthewNup on Wednesday, February 4, 2026 at 11:47

The author did a great job organizing the material — very easy to read <a href=https://diigo.com/011taky>https://diigo.com/011taky</a>

hudiznySaf on Wednesday, February 4, 2026 at 18:58

Visit <a href=https://calendaroftheday.com/>https://calendaroftheday.com/</a> and you'll find the Calendar of the Day! Find out everything interesting happening today, tomorrow, or throughout the year. And in the "Holidays" section, you'll find interesting events for every day – from drinks and food to health and culture.

pecitweind on Wednesday, February 4, 2026 at 19:58

Торгово-промышленная база «47стройка» является крупнейшим изготовителем пиломатериалов в СПб и Ленобласти с личным деревообрабатывающим производством и заготовкой леса в экологичных северных зонах. Фирма поставляет обширный каталог качественной продукции: обрезную и строганную доску, брус обрезной и профилированный, вагонку, имитацию бруса, террасную доску по заводским расценкам. Подробный каталог и актуальные цены доступны на <a href=https://47stroyka.ru/>https://47stroyka.ru/</a> Личный спецавтопарк гарантирует быструю транспортировку стройматериалов по Санкт-Петербургу и Ленобласти, а высокотехнологичное оснащение обеспечивает превосходное качество продукции и реализацию заявок любых масштабов в кратчайшие сроки.

WilliamQuild on Thursday, February 5, 2026 at 04:10

Sharing because more people should see content like this — genuinely helpful <a href=https://tkd-e.co.com/>tkb e-banking</a>

GordonDrofe on Thursday, February 5, 2026 at 05:38

Really informative piece — take a look <a href=http://lc.clanfm.ru/viewtopic.php?f=5&t=3609>http://lc.clanfm.ru/viewtopic.php?f=5&t=3609</a>

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: