« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (11)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

kohupQuiet on Monday, September 28, 2026 at 11:49

Looking for <a href=https://dota2pot.com/>рулетка скинов дота 2</a>? Check out dota2pot.com, a Dota 2 jackpot lottery platform that offers a minimum wager of just 1 cent along with several game modes for Steam items. Users put their skins on the line, and after each round closes, a randomizer chooses a single winner to scoop the entire pot! Find out more on the site.

soketAntib on Tuesday, September 29, 2026 at 00:25

Студия «Мозаика» в Санкт-Петербурге создаёт эксклюзивные решения из мозаики для интерьеров любого масштаба — от ванных комнат и бассейнов до художественных панно ручной работы. Полный цикл услуг включает изготовление, доставку и профессиональный монтаж, а на сайте <a href=https://mo3aika.ru/>https://mo3aika.ru/</a> можно выбрать готовые изделия или заказать индивидуальный проект. Мастера воплощают смелые дизайнерские идеи, помогая наполнить пространство светом, фактурой и настроением.

anapushept on Tuesday, September 29, 2026 at 01:41

Магазин DIESELHARDSHOP поставляет оригинальные автозапчасти для легковых и грузовых иномарок и спецтехники. Дополнительно выполняются диагностика и ремонт топливной аппаратуры. Ищете <a href=https://dieselhard.shop/>интернет магазин дизельных форсунок</a>? Каталог и заказ доступны на сайте dieselhard.shop для физических и юридических лиц. Заказы доставляются по России службой СДЭК. На оформление заказа уходит пара минут.

pasecDor on Tuesday, September 29, 2026 at 01:44

Looking for <a href=https://jackcode.io/online-casino/>game api casino</a>? Want to bring live games, slots, payment systems, and betting providers together under one unified infrastructure? Check out jackcode.io — we link game providers, PSPs, KYC services, CRMs, and aggregators via a robust, reliable architecture. We also offer turnkey online casino solutions, ranging from White Label platforms to fully turnkey setups that include game providers, payment systems, bonus tools, and back-office functionality.

mipipoincum on Tuesday, September 29, 2026 at 05:28

Комфортный отдых на южном побережье начинается с продуманной поездки. Надежный сервис <a href=https://anapa-taxi-transfer.ru/>https://anapa-taxi-transfer.ru/</a> организует пунктуальную подачу современных авто, встречу на вокзале и поездки по фиксированным тарифам без переплат. Опытные водители и высокий уровень заботы о пассажирах гарантируют вам спокойную дорогу к долгожданному морю.

apozPlaub on Tuesday, September 29, 2026 at 05:48

С 2006 года автошкола «Драйв+» в Туле учит водить на категорию B, готовя не к сдаче экзамена, а к настоящей жизни за рулём. Профессиональные инструкторы, удобные классы и теория онлайн, свободный график и полное сопровождение в ГАИ на автомобилях школы. Записаться на курс можно на сайте <a href=https://drivepluspro.ru/>https://drivepluspro.ru/</a> — там же цены и акции. Пройдите обучение у настоящих профессионалов «Драйв+».

dipliHon on Tuesday, September 29, 2026 at 08:01

Кейс батл CS 2 на CASEWAY — это честная битва за скины между игроками. Каждый игрок открывает одинаковые кейсы, а победителю достаётся всё содержимое. Ищете <a href=https://caseway.net/case-battle/cs2>кейс баттл</a>? Создайте свой батл или присоединяйтесь к чужому на caseway.net/case-battle/cs2 за пару кликов. Режимы 1v1, 2v2 и 3v3 дают возможность играть соло или командой — до шести участников в одной битве.

dumuHitly on Tuesday, September 29, 2026 at 08:46

Любителям сериалов больше не придется подолгу искать желанные новинки в сети. Новые хиты и любимая классика доступны на одной площадке по выгодной стоимости. Ищете <a href=https://serialexpress.ru/>купить сериалы москва</a>? Интернет-магазин serialexpress.ru предлагает огромный каталог отечественных и зарубежных сериалов с доставкой по всей России. Оформление покупки занимает считанные минуты, а доставка не заставит ждать. Качество записи и удобная упаковка гарантированы каждому покупателю.

Kevinhow on Tuesday, September 29, 2026 at 12:32

This article is both informative and engaging — rare combination <a href=http://www.smsforge.net/?p=1&unapproved=643201&moderation-hash=3c54aa8a8e75e95f08ce4dbeb8559ad1#comment-643201>http://www.smsforge.net/?p=1&unapproved=643201&moderation-hash=3c54aa8a8e75e95f08ce4dbeb8559ad1#comment-643201</a>

cgutnam on Tuesday, September 29, 2026 at 12:48

Автомобильные весы CXT — надежное решение для точного взвешивания грузового транспорта на любых предприятиях. Прочные конструкции выдерживают высокие нагрузки, служат долго и обеспечивают достоверные данные при любых погодных условиях. Ознакомиться с полным модельным рядом и характеристиками можно на сайте <a href=https://cxt.su/products/avtomobilnye-vesy/>https://cxt.su/products/avtomobilnye-vesy/</a> — здесь вы подберете оборудование под свои задачи и бюджет.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: