如何“防篡改” php中的$_SERVER变量是什么？

Question

通过信任 $_SERVER 变量数组的内容来使用 $_SERVER['PHP_SELF'] 获取 php 文件的名称，我会冒很大的安全风险吗？

Answer 1

许多但并非全部 $_SERVER 变量都受到攻击者控制。例如，$_SERVER['SCRIPT_NAME'] 是安全的，而 $_SEVER['PHP_SELF'] 是一个不同的危险变量，并且通常是 xss 的来源：

<?php
echo $_SEVER['PHP_SELF'];
?>

PoC：

http://localhost/self.php/<script>alert(/xss/)</script>

它通过查看 phpinfo。

Answer 2

没有有效的特殊机制来保护该变量。您可以像写入任何其他变量一样写入它。因此，您必须像任何其他变量一样保护它免遭篡改（禁用 register_globals、避免变量变量等）。那么你就可以相信它。

作为一种解决方法，您可以在程序的早期定义自己的常量：

define('SCRIPT_FILENAME',$_SERVER['SCRIPT_FILENAME']);

并在可用的情况下使用预定义常量，例如 __FILE__。

Answer 3

来自 php.net 手册：

此数组中的条目由 Web 服务器创建。无法保证每个网络服务器都会提供其中任何一个；服务器可能会省略一些，或提供此处未列出的其他内容。

因此，如果您了解有权更改服务器配置的所有用户（以及会话中可能修改变量内容的所有脚本），您就可以合理地确定 $_SERVER 变量的数据。

Answer 4

完全不，只要您不使用用户的数据，这实际上根本就不会构成风险。也就是说，使用以下之一：

echo __FILE__;
// is the same as
echo $_SERVER["SCRIPT_FILENAME"];

echo $_SERVER["SCRIPT_NAME"];
// SCRIPT_NAME contains just the path