« Displaying Chinese UTF-8 characters in gvim on Windows Prosper's insecure bank account management feature »

$_SERVER['PHP_SELF'] and cross-site scripting

Monday, May 20, 2013

It's tempting to assume that PHP's $_SERVER array mostly contains fields out of the reach of an attacker, since these are "server" variables. However, that's not always the case; in particular, the seemingly innocuous PHP_SELF field can be a vector for cross-site scripting.

For example, consider the following foo.php:

<form method="POST" action="<?php echo $_SERVER['PHP_SELF'] ?>">
    <!-- ...form elements... -->
</form>

If I visit http://www.example.com/foo.php, $_SERVER['PHP_SELF'] will be /foo.php and everything will work correctly.

But what if I visit http://www.example.com/foo.php/"><script>alert('hello');</script> instead? Then the rendered HTML will be:

<form method="POST" action="/foo.php/"><script>alert('hello');</script>">
    <!-- ...form elements... -->
</form>

This allows injection of arbitrary script running under the host site's context, also known as XSS. Two ways to fix this are:

  • Use $_SERVER['SCRIPT_NAME'] instead of $_SERVER['PHP_SELF']. The former is the name of the actual script file and can't normally be manipulated by an attacker.
  • Use htmlspecialchars(), which by default will escape double-quotes and prevent a user-supplied string from breaking out of an HTML attribute context.

By the way, this was pretty surprising behavior to me for two reasons:

  • The documentation of PHP_SELF is misleading: The first sentence says:

    The filename of the currently executing script, relative to the document root.

    It seems odd that PHP would refer to something like /foo.php/"><script>alert('hello');</script> as a "filename."
  • It's pretty bizarre default behavior that PHP will execute /foo.php for a request of /foo.php/bar/baz.

Tags: php, xss, security | Posted at 11:13 | Comments (17)

Comments

David Annis on Wednesday, June 25, 2014 at 06:32

I have used the fact that php will execute /foo.php from a request that contains /foo.php/bar to make search engine friendly URLs because many search engines will not index both wheretodrink.php?answer=bar and wheretodrink.php?answer=home because they fear an infinite set of URLs.

burumGrili on Wednesday, October 7, 2026 at 14:59

Засор в трубе парализует быт мгновенно. Мастера по прочистке стоков в Москве закрывают вопрос без повторных приездов. Работа идёт до чистых стенок: гидродинамика вымывает наросты полностью. Ищете <a href=https://prochistka-msk.ru/>для чистки канализации</a>? Оформить заявку можно на сайте prochistka-msk.ru — оператор перезвонит и согласует удобное время. Проблема уходит основательно, а не откладывается на неделю.

risumidPog on Wednesday, October 7, 2026 at 16:00

Сайт <a href=https://xn--42-6kcajlib1a3cg0ahhp3l4c.xn--p1ai/>https://xn--42-6kcajlib1a3cg0ahhp3l4c.xn--p1ai/</a> посвящён садовым растениям и декоративным культурам для оформления участка. В каталоге представлены гортензии, декоративные кустарники и многолетние растения, которые подходят для создания красивых цветников, композиций и уютных садовых уголков. Здесь можно познакомиться с разнообразием растений, их особенностями и вариантами использования в ландшафтном оформлении. Сайт будет полезен садоводам, дачникам и всем, кто интересуется выращиванием и озеленением участка.

wayiduickFen on Wednesday, October 7, 2026 at 17:17

Покупка машины больше не требует сложных согласований: сервис <a href=https://cartrip-auto.ru/>https://cartrip-auto.ru/</a> предлагает прозрачную аренду автомобилей с быстрым правом выкупа в Краснодарском крае без скрытых условий и волокиты. Клиентам открыт огромный проверенный автопарк под любые задачи с гибким графиком платежей на срок до сорока месяцев. Это надежный, комфортный и проверенный путь к собственной машине уже сегодня.

depizfaf on Wednesday, October 7, 2026 at 17:58

Aigena — российская студия ИИ-генерации фото, видео и музыки без VPN и зарубежных карт. FLUX, Kling, Veo и Suno собраны на одной площадке и работают на едином счёте. Ищете <a href=https://aigena.pro/>нейросеть для создания видео</a>? Просто зайдите на aigena.pro и опишите задачу на русском. Оплата в рублях картой РФ или через СБП, неудачные генерации возвращаются на счёт. Готовый файл вы получаете уже через несколько минут.

mexavyGah on Wednesday, October 7, 2026 at 18:34

Navigating the vast expanse of the Americas requires reliable precision, and <a href=https://us-atlas.com/>https://us-atlas.com/</a> delivers exactly that through an exhaustive digital atlas. From intricate highway networks and county lines across all fifty U.S. states to national parks, Canada, and Latin America, this rich resource turns complex geography into clear visual knowledge.

pabebHex on Wednesday, October 7, 2026 at 18:42

Looking for <a href=https://ergauge.com/>ergauge - anonymous instagram story viewer</a>? Head over to ergauge.com—the service is completely free, and your visit will never appear in view counts or story audience statistics. You can also unlock hidden profile analytics that the platform normally tracks—including engagement rate, average likes, posting frequency, and individual post performance—all in real-time and based on public data.

racetStoda on Wednesday, October 7, 2026 at 18:57

Савина Ирина консультирует взрослых клиентов онлайн уже более трёх лет. Темы работы: тревожность, ощущение пустоты, одни и те же сценарии в отношениях, горе, потеря смысла жизни. Ищете <a href=https://xn--90aefa6bo.shop/психолог-онлайн/>психологическая помощь</a>? Подробное портфолио и описание подхода собраны на оберег.shop/психолог-онлайн/ — там же видно, как проходят сессии. Индивидуальный формат даёт устойчивость и прикладные приёмы для повседневной жизни. Стартовая точка — выяснить, комфортно ли вам работать именно со мной.

ujexuMic on Thursday, October 8, 2026 at 15:19

Портал предоставляет обширную базу кинолент и сериалов в Full HD и 4K разрешении. Фильмотека постоянно расширяется актуальными премьерами для бесплатного онлайн-просмотра на любой технике. Ищете <a href=https://wowsfilms.ru/>фильмы онлайн</a>? Зрителям доступен сайт wowsfilms.ru без регистрации и подписок. Каталог включает боевики комедии драмы триллеры фантастику и мультфильмы с рейтингами.

dipamEvolf on Thursday, October 8, 2026 at 15:28

Ищете <a href=https://izaim.kz/>микрокредит онлайн</a>? Посетите сайт izaim.kz и с помощью подбора онлайн займа вы найдете самые выгодные условия, круглосуточно и без отказа. При необходимости используйте онлайн-калькулятор займа, а мы предложим вам самые лучшие финансовые продукты, доступные на рынке.

xemohnfob on Thursday, October 8, 2026 at 15:33

Planning a seamless road trip across America requires clear geographic insight and dependable route guidance. Whether traversing lively coastal metropolises, scenic historic corridors, or tranquil countryside byways, <a href=https://east-usa.com/>https://east-usa.com/</a> delivers meticulously detailed regional road maps, county borders, and national park directories designed to help curious travelers navigate every state with absolute confidence and ease.

geifvaw on Thursday, October 8, 2026 at 15:35

Электронные компоненты нужны быстро и без переплат. Ищете <a href=https://components.ru/>радиодетали</a>? Каталог микросхем, резисторов, конденсаторов и разъёмов собран на components.ru — проверенные поставки от производителей с гарантией подлинности. На оформление уходят минуты, отгрузка возможна от единицы до крупной партии. Технические консультации по замене номиналов бесплатны, доставка работает по стране.

Williamhar on Thursday, October 8, 2026 at 16:42

<a href=https://prostitutki-chernikovka.club/>prostitutki-chernikovka.club</a> Интим Черниковка северо-восток Уфы

riicurdevale on Thursday, October 8, 2026 at 16:57

Яркие моменты стримов Dolarus теперь собраны в одном месте, и короткий тридцатисекундный ролик на канале TwitchDolarus доказывает, что зрелищный контент не требует много времени. Автор обещает воплотить давно задуманную крутую идею, а атмосферу дополняет драйвовое музыкальное сопровождение. Оценить свежую нарезку и уловить фирменный стиль стримера можно по ссылке <a href=https://www.youtube.com/shorts/QUGPDAcQBIg>https://www.youtube.com/shorts/QUGPDAcQBIg</a>, где эмоции, динамика и живой юмор захватывают с первых секунд. Подписывайтесь, ставьте лайк и следите за новыми выпусками, чтобы не пропустить самое интересное.

cucifwoday on Thursday, October 8, 2026 at 17:40

Проект CaseWay даёт каждому активному любителю Counter-Strike 2 реальный шанс быстро расширить арсенал ценными игровыми предметами. Специальный раздел ежедневных призов и кейсов функционирует по адресу <a href=https://caseway.net/daily-free/cs2/>https://caseway.net/daily-free/cs2/</a> в открытом доступе для авторизованных геймеров. Проверенные алгоритмы рандома подтверждают надежность платформы и обеспечивают оперативную отправку всего заработанного дропа в инвентарь.

Jamesabili on Thursday, October 8, 2026 at 19:22

https://cherwellcricketleague.com/img/pgs/code_promo_1xbet_gratuit.html

codamPoige on Friday, October 9, 2026 at 01:32

Тёплый электрический пол дарит комфортный и равномерный обогрев в квартирах, коттеджах и офисах. Ищете <a href=https://xn------qddcaubbcgicddcb5cpdnozimly8hxe8bm.xn--p1ai/>электрический теплый пол для кухни купить</a>? В магазине теплый-пол-электрический-купить.рф представлены маты под плитку кабели в стяжку модели под ламинат и терморегуляторы ведущих брендов. Свой склад в Москве обеспечивает доставку в день заказа по всей России.

Add a comment

Name:
Email: (optional, not displayed to public)
URL: (do not fill this in — leave blank!)

Comment: