« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (11)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

vozizimet on Monday, April 13, 2026 at 01:29

«Ветреный» — турецкая драма 2019 года о двух людях, оказавшихся в плену многолетней семейной вражды. Миран появляется в Мидьяте с единственной целью — взять в жёны Рейян и тем самым сломить враждебный род. Ищете <a href=https://vetrenyy-smotret.biz/>ветреный смотреть онлайн</a>? Все 256 серий доступны бесплатно на vetrenyy-smotret.biz с русской озвучкой в хорошем качестве. Однако расчёт даёт трещину — искренняя и непреклонная Рейян вызывает в нём то, с чем он не умеет справляться. Захватывающие виды, острые диалоги и мощная игра актёров ставят сериал в ряд лучших турецких драм.

xidaxiMed on Monday, April 13, 2026 at 02:08

«Магическая битва» — беспощадное и интеллектуальное аниме о мире, в котором людские страхи и страдания принимают облик смертоносных проклятий. Школьник Юдзи Итадори случайно проглатывает палец древнего демона и превращается в его носителя — теперь в одном теле сосуществуют обычный парень и чудовище, которого боятся опытные маги. Ищете <a href=https://magicheskaya-bitva.biz/>магическая битва все серии</a>? На magicheskaya-bitva.biz все 58 серий трёх сезонов доступны бесплатно в отличном качестве с профессиональной озвучкой. Захватывающие битвы, многогранные характеры и пронизывающая мрачность повествования ставят сериал в число лучших аниме последних лет.

vesijordziste on Monday, April 13, 2026 at 02:37

Здоровье животных начинается с правильного питания, и здесь на помощь приходит гранулированная люцерна торговой марки «Люцервик» — натуральная витаминно-минеральная мука, сохраняющая до 95% полезных веществ исходного сырья. Продукт идеально подходит для лошадей, крупного рогатого скота, птицы и кроликов, обеспечивая животных качественным белковым кормом без химических добавок. На <a href=https://xn--b1afkib5a3byd.xn--p1ai/>https://xn--b1afkib5a3byd.xn--p1ai/</a> можно оформить заказ оптом и в розницу с доставкой из Кирова, изучить каталог, фотогалерею и реальные отзывы покупателей. Гранулы удобно хранятся и легко дозируются, что делает их незаменимым решением для фермеров и частных хозяйств.

xifamystoto on Monday, April 13, 2026 at 05:19

Все виды отдыха и маршрутов по Горному Алтаю в одном месте вы сможете увидеть на сайте <a href=https://altai.travel/>https://altai.travel/</a> - это официальный туристический портал Республики Алтай. Подберите для себя идеи для новых путешествий и интересные места. На сайте большой выбор аккредитованных гостиниц и проверенные варианты размещения. А наша интерактивная карта поможет спланировать идеальное путешествие!

jecopPet on Monday, April 13, 2026 at 05:23

«Викинги» — масштабная историческая драма, погружающая зрителя в жестокую атмосферу Скандинавии VIII века. Сюжет строится вокруг Рагнара Лотброка — обычного земледельца, обретшего статус легендарного военного вождя. Шесть сезонов, 90 серий, реальные морские походы, жестокие битвы и сложные судьбы героев удерживают внимание с первого эпизода. Ищете <a href=https://vikingi-smotret.online/>сериал викинги</a>? Сериал доступен в нескольких профессиональных озвучках на vikingi-smotret.online — выбирайте любую и смотрите без рекламы. Рагнар вместе с воительницей Лагертой и боевыми братьями осваивает неизведанные территории, встречая иные культуры и беспощадные правила чужих народов. Каждая серия — не только зрелищный боевик, но и скрупулёзное воспроизведение мировоззрения эпохи, где честь ценилась дороже жизни.

cewibEnard on Monday, April 13, 2026 at 05:55

Профиль компании «Холдсервис» — ремонт и монтаж холодильного и теплового оборудования всех типов: бытовые холодильники, промышленные чиллеры, низкотемпературные камеры, фризеры и ледогенераторы. За 15 лет работы мастера накопили опыт, позволяющий устранять неисправности оперативно и с гарантией результата. Все заявки обрабатываются без задержек — специалист выезжает к клиенту за свой счёт. Ищете <a href=https://holdservis.ru/>ремонт холодильников в москве</a>? Подробнее об услугах и ценах на holdservis.ru — актуальная информация всегда доступна. Прозрачное ценообразование без наценок сервисного центра даёт возможность решить проблему с максимальной выгодой и без потери качества.

hulixnut on Monday, April 13, 2026 at 09:01

Ищете Благоустройство участка под ключ? Посетите сайт Идеал строй <a href=https://idealstr.ru/uslugi/blagoustrojstvo-territorii>https://idealstr.ru/uslugi/blagoustrojstvo-territorii</a> - ознакомьтесь с нашими работами или звоните по телефону +7 495 227 58 48 - наши квалифицированные сотрудники ответят на все интересующие вас вопросы.

ruvibSlugs on Monday, April 13, 2026 at 09:37

Срок службы большинства счётчиков воды составляет 12 лет, и по истечении этого периода прибор обязан пройти поверку или замену — иначе показания перестанут считаться действительными и начисления пойдут по завышенным нормативам. Компания «Водогарант» выполняет замену счётчиков воды в Москве и Московской области за один день, начиная всего от 2500 рублей, включая оборудование, демонтаж, монтаж, документы и пломбировку. Актуальные цены и модели приборов доступны на <a href=https://xn--80aaeee1dcbuw.xn--p1ai/zamena-schetchikov-vody/>https://xn--80aaeee1dcbuw.xn--p1ai/zamena-schetchikov-vody/</a> — специалисты работают напрямую с Мосводоканалом, выезд мастера бесплатный, гарантия на монтаж составляет 12 месяцев.

nijisnygag on Monday, April 13, 2026 at 11:05

«Самурай Джек» — знаковый мультсериал 2001 года о безымянном самурае, которого злой демон Аку швырнул в мрачное будущее, захлёбывающееся в хаосе и насилии. Ищете <a href=https://samuray-dzhek.club/>самурай джек все серии</a>? Все 5 сезонов и 62 серии доступны на samuray-dzhek.club бесплатно в отличном качестве с русской озвучкой. Вооружённый лишь старинным клинком и незыблемым кодексом чести, самурай бросает вызов миру роботов и мутантов в попытке вернуться в своё время и покончить со злом. Каждая серия — лаконичная притча о выборе, стойкости и цене доблести, созданная с безупречным визуальным стилем.

hocebmig on Monday, April 13, 2026 at 20:52

HDRezka — один из крупнейших русскоязычных онлайн-кинотеатров с библиотекой более 7400 страниц контента: фильмы, сериалы, мультфильмы и аниме на любой вкус. Каталог охватывает всё — от культовой классики до свежих релизов 2026 года с профессиональным дубляжом и субтитрами. Ищете <a href=https://hdrezka.film>смотреть фильмы онлайн</a>? Переходите на hdrezka.film получайте доступ к тысячам тайтлов в Full HD без регистрации. Горячие обновления сериалов выходят ежедневно: новые серии «Декстера», «Во все тяжкие» и актуальных новинок появляются в день релиза с несколькими вариантами перевода.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: