« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (13)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

fejebClafe on Sunday, September 13, 2026 at 23:53

Шины и диски в Кирове проще выбирать там, где есть всё сразу: легковые и грузовые модели, резина для спецтехники, десятки брендов от Yokohama и Michelin до Kama и Cordiant. Подбор идёт по автомобилю или по параметрам — ширина, диаметр, вылет. Ищете <a href=https://xn----dtbqbjqkp0e6a.xn--p1ai/>шины 43 киров</a>? Каталог с ценами и наличием открыт на сайте xn----dtbqbjqkp0e6a.xn--p1ai — скидка на шиномонтаж при покупке и бесплатная доставка колёс в сборе. Точек продаж три, каждый товар имеет сертификат.

xesupnTeN on Monday, September 14, 2026 at 00:25

Выбирая шины в Кирове, важно найти надёжного партнёра, который предложит качество и честные цены. Именно поэтому автовладельцы всё чаще обращаются в магазин <a href=https://xn----dtbqbjqkp0e6a.xn--p1ai/>https://xn----dtbqbjqkp0e6a.xn--p1ai/</a> - где представлен широкий ассортимент летних, зимних и всесезонных покрышек популярных брендов. Здесь подберут резину под ваш автомобиль, стиль езды и бюджет, а грамотные консультанты помогут не ошибиться с выбором. Удобная доставка, гарантия и профессиональный сервис делают покупку простой и приятной — ваша безопасность на дороге начинается с правильных шин.

Kevinhow on Monday, September 14, 2026 at 03:53

Sharing something that stood out as both informative and engaging <a href=https://homehiive.com/author/carygilfillan/>https://homehiive.com/author/carygilfillan/</a>

apozPlaub on Monday, September 14, 2026 at 06:27

С 2006 года автошкола «Драйв+» в Туле учит водить на категорию B, готовя не к сдаче экзамена, а к настоящей жизни за рулём. Профессиональные инструкторы, удобные классы и теория онлайн, свободный график и полное сопровождение в ГАИ на автомобилях школы. Записаться на курс можно на сайте <a href=https://drivepluspro.ru/>https://drivepluspro.ru/</a> — там же цены и акции. Доверьте обучение профессионалам «Драйв+».

yutcfrirl on Monday, September 14, 2026 at 06:49

Фирма СВАРТЕХКОМПЛЕКТ реализует сварочную технику, инверторы и расходники для производственных предприятий и частных покупателей. В каталоге представлена техника проверенных производителей по доступным ценам. Ищете <a href=https://www.svartk.ru/>сварочное оборудование официальный сайт</a>? Полный ассортимент и актуальный прайс размещены на сайте www.svartk.ru — здесь удобно оформить заказ онлайн. Покупателям доступна оперативная доставка по всей России, а специалисты помогут подобрать оборудование под конкретные задачи.

mayhisog on Monday, September 14, 2026 at 06:54

Установка гидроманипулятора на самосвал делает машину многофункциональной для подъёма, выгрузки и транспортировки грузов. Компания Steelmagic производит надёжное оборудование под ваши задачи — оформить заказ можно на сайте <a href=https://steelmagic.ru/gidromanipulyator-dlya-samosvala/>https://steelmagic.ru/gidromanipulyator-dlya-samosvala/</a> Надёжная сборка, чёткое управление и долговечность подтверждены на практике.

DanielKeype on Monday, September 14, 2026 at 06:59

Zero in on our full casino game spread <a href="https://dev.ndsa.uk/forum/threads/vox-casino-bonus-in-pregled-online-iger.3031/">https://dev.ndsa.uk/forum/threads/vox-casino-bonus-in-pregled-online-iger.3031/</a>

fopelickwoulp on Monday, September 14, 2026 at 07:39

Профиль продавца на Копейке.шоп — находка для любителей активного отдыха: здесь представлен внушительный ассортимент квадроциклов с доставкой по всей России и удобной оплатой после получения. В каталоге — модели Loncin, Zongshen, Mikilon и другие по ценам от 150 000 до 425 000 рублей. Загляните на <a href=https://kopeika.shop/users/156117>https://kopeika.shop/users/156117</a>, чтобы выбрать надёжную технику для бездорожья и оценить предложения продавца из Хабаровска.

totijalPom on Monday, September 14, 2026 at 07:56

Чистый воздух дома — не роскошь, а основа самочувствия. Пыль, аллергены и сухой воздух повышают риск простуд и раздражают слизистые, поэтому очистители с HEPA и увлажнители, держащие влажность около 40–60%, заметно облегчают дыхание. Подробнее о выборе и пользе читайте на <a href=https://igropoisk.com/ochistiteli-i-uvlazhniteli-vozduha-zabota-o-zdorove.html>https://igropoisk.com/ochistiteli-i-uvlazhniteli-vozduha-zabota-o-zdorove.html</a> — там ясно, как техника помогает семье дышать свободнее каждый день.

mepagioJough on Monday, September 14, 2026 at 08:11

Городской воздух в комнате нередко кажется чистым, хотя в нём остаются пыль, пыльца и шерсть. Smartmi Air Purifier 2 тихо фильтрует поток, прост в управлении и уместен в спальне или гостиной. Обзор модели — на <a href=https://moskva-news.com/smartmi-air-purifier-2-chistyj-vozduh-kak-chast-domashnego-komforta/>https://moskva-news.com/smartmi-air-purifier-2-chistyj-vozduh-kak-chast-domashnego-komforta/</a> : свободная установка и своевременная смена фильтра помогают держать дом свежим.

DanielKeype on Monday, September 14, 2026 at 09:58

Plug into our total casino game experience <a href="https://beteiligung.amt-huettener-berge.de/profile/fragacasino/">https://beteiligung.amt-huettener-berge.de/profile/fragacasino/</a>

Kevinhow on Monday, September 14, 2026 at 10:37

Well written and easy to follow — check it out <a href=https://arlettesere.com/index.php/2019/02/24/hello-world/?unapproved=310510&moderation-hash=6ad07780983bffbc5c6afa0f70adf03b#comment-310510>https://arlettesere.com/index.php/2019/02/24/hello-world/?unapproved=310510&moderation-hash=6ad07780983bffbc5c6afa0f70adf03b#comment-310510</a>

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: