| « Displaying Chinese UTF-8 characters in gvim on Windows | Prosper's insecure bank account management feature » |
$_SERVER['PHP_SELF'] and cross-site scripting
Monday, May 20, 2013
It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.
For example, consider the following foo.php:
<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
<!-- ...form elements... -->
</form>
If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.
But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:
<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
<!-- ...form elements... -->
</form>
This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:
- Use
$_SERVER['SCRIPT_NAME']instead of$_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker. - Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.
By the way, this was pretty surprising behavior to me for two reasons:
- The documentation of PHP_SELF is misleading: The first sentence says:
It seems odd that PHP would refer to something likeThe filename of the currently executing script, relative to the document root.
/foo.php/"><script>alert('hello');</script>as a "filename." - It's pretty bizarre default behavior that PHP will execute
/foo.phpfor a request of/foo.php/bar/baz.
Comments
jozifameelm on Tuesday, April 7, 2026 at 15:39
Новини Києва <a href=https://thekyivreview.com/>https://thekyivreview.com/</a> . Новини та актуальна довідкова інформація про місто Київ.
sebiktaurl on Tuesday, April 7, 2026 at 16:08
Юридическая компания «Один к одному» занимается взысканием сложной задолженности, вопросами субсидиарной ответственности и ликвидацией компаний с долгами — делами, недоступными для обычных юристов. Управляющий партнёр Даниил Наймушин включён «Российской газетой» в число лучших юристов России по банкротству, а компания получила высокие оценки «КоммерсантЪ» и рейтинга Право-300. На <a href=https://1k1law.ru/>https://1k1law.ru/</a> можно получить профессиональную консультацию по арбитражным спорам и банкротству — подход команды прогнозируемый и результативный.
satertZob on Tuesday, April 7, 2026 at 16:10
Кровь, арена и большая власть возвращаются в 2025-м: «Спартак: Дом Ашура» — это жёсткая история о человеке, выбравшем интригу вместо меча. Ашур — калека и бывший гладиатор — превращается в мастера манипуляций, плетя заговоры среди патрициев, ланист и рабов Капуи. Ищете <a href=https://spartak-dom-ashura-smotret.net/>спартак смотреть онлайн</a>? Смотреть все 10 серий в хорошем качестве с озвучкой LostFilm и AlexFilm можно на spartak-dom-ashura-smotret.net без регистрации и в любое время. Сериал показывает знакомый мир гладиаторов с неожиданной стороны — глазами того, кто побеждает не силой, а умом.
kelimicidows on Wednesday, April 8, 2026 at 02:18
«Аркейн» по праву считается эталоном современной анимации. События происходят в контрастном мире — между сверкающим Пилтоувером и гибнущим в хаосе Зауном. Судьбы сестёр Вай и Пауэр, выросших в нищете, превращаются в цепочку невозможных выборов и потерь. Ищете <a href=https://arkeyn-smotret.biz/>аркейн смотреть онлайн</a>? Смотреть все 18 серий удобно на arkeyn-smotret.biz — бесплатно в высоком качестве с несколькими вариантами озвучки. Сериал поднимает темы классового неравенства, цены прогресса и личной утраты без лишнего пафоса — жёстко, честно и визуально безупречно.
jidizilwed on Wednesday, April 8, 2026 at 03:01
«Чёрная любовь» — турецкая мелодрама 2015 года про двух людей из противоположных миров, для которых первый взгляд обернулся испытанием длиною в жизнь. Честный и небогатый Кемаль влюбляется в Нихан — девушку из влиятельной семьи, окружённую тайнами и контролируемую женихом-манипулятором Эмиром. Манипуляции, шантаж и предательство разлучают их на годы. Ищете <a href=https://chernaya-lyubov-kinogo.online/>чёрная любовь смотреть онлайн</a>? Все 244 серии двух сезонов смотрите бесплатно на chernaya-lyubov-kinogo.online с русским дубляжом в хорошем качестве. Постаревший и окрепший Кемаль снова оказывается в Стамбуле — и лицом к лицу с Нихан: замолчанная правда всплывает, а любовь, пережившая всё, заявляет о себе с новой силой.
yaxolesPoono on Wednesday, April 8, 2026 at 05:15
Южнокорейский сериал «Милый дом» — жёсткий и атмосферный хоррор-триллер, который захватывает с первых минут. Загадочная зараза обращает людей в чудовищ, воплощающих их сокровенные страхи и тёмные желания. Одинокий подросток Чха Хёнсу попадает в окружённый многоквартирный дом, где соседи внушают не меньший страх, чем монстры снаружи. Ищете <a href=https://milyy-dom-smotret.net/>милый дом смотреть онлайн</a>? Все три сезона доступны на milyy-dom-smotret.net — смотреть онлайн бесплатно в высоком качестве с профессиональной озвучкой. Проект виртуозно объединяет психологическую драму, экшен и фантастику, не отпуская зрителя до последней минуты.
wesitInfib on Wednesday, April 8, 2026 at 05:59
«Великолепный век» — турецкий исторический сериал 2011 года о величии и беспощадности Османской империи времён Сулеймана Великолепного. 139 серий четырёх сезонов — дворцовые заговоры, сражения и любовные драмы: рабыня Хюррем проходит путь от пленницы до властной фаворитки, влияющей на ход истории. Ищете <a href=https://velikolepnyy-vek-smotret.online/>великолепный век смотреть онлайн</a>? Все серии доступны на velikolepnyy-vek-smotret.online бесплатно в хорошем качестве с русским дубляжом. Изысканные костюмы, подлинная атмосфера дворца Топкапы и убедительная актёрская работа переносят зрителя прямо в XVI столетие. История, мелодрама и придворный триллер здесь неотделимы друг от друга — сериал держит в напряжении без единой слабой серии до самого конца.
jozifameelm on Wednesday, April 8, 2026 at 06:21
Новини Києва <a href=https://thekyivreview.com/>https://thekyivreview.com/</a> . Новини та актуальна довідкова інформація про місто Київ.
cudewyLIT on Wednesday, April 8, 2026 at 08:31
«Твин Пикс» 2017 года — это не возвращение к знакомому, а падение в бездну, где время теряет форму, а реальность рассыпается. Дэвид Линч возвращает агента Купера раздробленным, расколотым на отражения самого себя. Маленький городок в туманах северо-запада снова хранит тайны — только теперь мрак в нём гуще, а иные измерения не проглядывают сквозь повседневность, а буквально разрывают её. Ищете <a href=https://tvin-piks-kinogo.cc/>твин пикс все серии</a>? Смотреть все 18 серий с озвучкой LostFilm и Amedia можно на tvin-piks-kinogo.cc без регистрации в любое время. Линч не предаётся воспоминаниям — он анатомирует их: бесконечные паузы, внезапные всплески жестокости и звук, врезающийся в сознание острее скальпеля. Каждая сцена шепчет об одном — то, что мы называем реальностью, всего лишь хрупкий лёд над ледяной чернотой подсознания.
visuhuTob on Wednesday, April 8, 2026 at 08:42
ХолдСервис — профессиональная служба ремонта и монтажа холодильного и теплового оборудования, работающая в Восточном административном округе столицы. Более 15 лет мастера выполняют диагностику и ремонт промышленных холодильников, чиллеров, низкотемпературных камер, ледогенераторов, фризеров и скороморозильных агрегатов. Выезд мастера осуществляется бесплатно на объект заказчика. Все подробности об услугах и условиях сотрудничества — на сайте <a href=https://holdservis.ru/>https://holdservis.ru/</a> оставьте заявку и мастер приедет в удобное время. Работа напрямую без посредников обеспечивает клиентам честные цены и стабильно высокое качество ремонта.
halaxNap on Wednesday, April 8, 2026 at 09:00
Добро пожаловать в наш интернет-магазин <a href=https://tiktak-shop.ru/>https://tiktak-shop.ru/</a> ! Мы предлагаем качественные аксессуары для тех, кто ценит стиль и статус. В нашем ассортименте представлены реплики часов известных марок, выполненные с поразительной точностью. Каждая модель — это сочетание премиального дизайна и надежного механизма по доступной цене. Подчеркните свою индивидуальность и дополните образ деталью, которая приковывает взгляды. С нами роскошь становится доступнее! Быстрая доставка и безупречный сервис гарантированы.
yisahzex on Wednesday, April 8, 2026 at 09:07
Токио существует на двух уровнях: при свете дня — обычный город, в темноте — территория гулей, чьим единственным пропитанием служит человеческая плоть. Некогда обычный студент Кен Канеки превратился в полугуля: его сознание расколото надвое, а дорога, по которой он идёт, ведёт лишь в темноту. Ищете <a href=https://tokiyskiy-gul-pererozhdenie-kinogo.vip/>токийский гуль перерождение смотреть онлайн</a>? На tokiyskiy-gul-pererozhdenie-kinogo.vip все 24 серии доступны бесплатно в хорошем качестве с несколькими вариантами озвучки. Антигульская организация CCG затягивает петлю на шее подпольных кланов, каждое столкновение оставляет следы не только на телах, но и в душах.
lamutHaddy on Wednesday, April 8, 2026 at 09:15
«Рассказ служанки» — без сомнения, один из главных антиутопических сериалов нашего времени, снятый по знаменитому роману Маргарет Этвуд. История разворачивается в беспощадном тоталитарном обществе, где женщины лишены прав и личности, а немногие фертильные обречены вынашивать детей для элиты. Ищете <a href=https://rasskaz-sluzhanki-smotret.net/>рассказ служанки все серии</a>? На rasskaz-sluzhanki-smotret.net доступны все 66 серий шести сезонов с профессиональными озвучками. Сериал удостоен множества престижных наград и признан одной из лучших драм десятилетия — напряжённый, беспощадный и абсолютно необходимый к просмотру.
DonaldZex on Wednesday, April 8, 2026 at 11:13
Sharing because it’s genuinely well written <a href=https://localadventurer.com/rei-membership-benefits/?unapproved=799017&moderation-hash=fdeef87c80755a64f9c9249eaf0ae263#comment-799017>https://localadventurer.com/rei-membership-benefits/?unapproved=799017&moderation-hash=fdeef87c80755a64f9c9249eaf0ae263#comment-799017</a>
MartinWeese on Wednesday, April 8, 2026 at 11:14
https://mgbidienugu.com/iwaji-uwae/?unapproved=140324&moderation-hash=7cc9a7e1c6c8a0853d12e5df54cfa92c#comment-140324>https://mgbidienugu.com/iwaji-uwae/?unapproved=140324&moderation-hash=7cc9a7e1c6c8a0853d12e5df54cfa92c#comment-140324</a>
Add a comment
Archives
2024
- September (1)
- March (1)
2023
- April (1)
2021
- February (2)
2020
- March (1)
- January (1)
2018
- April (1)
- March (1)
2017
- February (1)
2015
- March (1)
2014
- June (1)
- May (1)
- March (1)
2013
- December (1)
- May (1)
- April (1)
- March (2)
2012
- December (1)
- September (1)
- August (3)
- July (1)
- February (1)
- January (1)
2011
- December (1)
- June (1)
- April (1)
- March (1)
- January (2)
2010
- December (1)
- November (4)
- October (1)
- June (2)
- May (1)
- March (1)
- February (2)
- January (2)
2009
- December (4)
David Annis on Wednesday, June 25, 2014 at 06:32
I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.