PHP_SELF 和 XSS

Question

我发现一篇文章声称 $_SERVER['PHP_SELF'] 容易受到 XSS 攻击。

我不确定我是否理解正确，但我几乎可以肯定这是错误的。

这怎么可能容易受到 XSS 攻击！？

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
  <!-- form contents -->
</form>

Answer 1

为了使其安全使用，您需要使用 htmlspecialchars()。

<?php echo htmlspecialchars($_SERVER["PHP_SELF"], ENT_QUOTES, "utf-8"); ?>

请参阅 我写过的几乎所有 PHP 表单中都存在 XSS 漏洞，了解如何攻击 $_SERVER["PHP_SELF"]。

Answer 2

这确实是一个XSS漏洞。我确实理解您认为它可能不会损害您的网站，但这并不意味着它不是真实的。

如果您不相信，请尝试以下操作：

我们假设您有一个页面，例如“registration.php”。
我们假设你有一个表单，其中的操作是：

<?php echo $_SERVER['PHP_SELF']; ?>

正如你确实写下的那样：

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
  <!-- form contents -->
</form>

现在只需在下面附加字符串

%27%22/%3E%3Cscript%3Ealert(1)%3C/script%3E

实际上并不难理解，因为 PHP_SELF 是 URL 的反映，你的应用程序将读取你在 URL 中输入的任何内容并回应它。就这么简单。

htmlspecialchars 应该处理好这件事，没有理由对证据提出异议。

<form method="post" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF']); ?>">
   <!-- form contents -->
</form>

然而，即使这是窃取 cookie 的第一步，也不是自动发生的。即使攻击很容易（因为攻击者会在您的网站上注册并查看 cookie 的外观等），但要达到窃取 cookie 的目的，还必须满足一系列其他因素情况。例如，cookie 不能过期。这取决于 cookie 的复杂程度。也许您在服务器上采取了其他预防措施，但不一定所有身份验证都基于 cookie 的存在！

虽然我确实相信要满足所有条件，这是相当困难且非常糟糕的编程（即使 yahoo.mail 例如有这样的漏洞，如果你在互联网上查找，你甚至会发现漏洞利用和 cookie 解码器），XSS 是真实的，谁知道如果您的网站遭受攻击，狡猾的攻击者会做什么。治疗方法很简单...

Answer 3

您链接的那篇文章给了您：

http://www.example.com/form.php/%22%3E%3Cscript%3Ealert(‘xss attack’)%3C/script%3E%3Cbr%20class=%22irrelevant

什么不清楚？

编辑：这是一个 XSS 攻击，因为我可以隐藏从我的网站到你的网站的链接，并在 URL 中添加一些 JS，这些 JS 会向我发送你的 cookie，所以当你点击该链接时，你就被 pwnd 了。

Answer 4

您应该使用 filter_input() 来访问 PHP 中的超全局变量。如果您将过滤器设置为 FILTER_SANITIZE_FULL_SPECIAL_CHARS ，它将去除通常使用的不安全字符在 XSS 中。鉴于你的例子：

<form method="post" 
    action="<?php filter_input(INPUT_SERVER, 'PHP_SELF', FILTER_SANITIZE_FULL_SPECIAL_CHARS); ?>">
<!-- form contents -->
</form>

Answer 5

该漏洞是用户可以在表单中输入恶意 JavaScript 代码。为了防止这种情况，使用了 htmlspecialchars 函数。

预定义字符（如 >、<、"、'）被转换为实体（> < 等）

htmlspecialchars($_SERVER["PHP_SELF"]) 确保所有提交的表单变量都被转换 要了解有关

此漏洞的更多信息，请访问：https://www.w3schools.com/php/php_form_validation.asp

另一个可以帮助您的链接：https://www.w3schools.com/php/php_form_validation.asp bit Degree.org/learn/php-form-validation/amp" rel="nofollow noreferrer">https://www.google.com/amp/s/www.bit Degree.org/learn/php-form-validation/amp

Answer 6

我正在研究有关 PHP_SELF 变量和 XSS 攻击的问题。有一些我仍然无法理解的事情： PHP_SELF 变量应该引用脚本文件（正在运行的脚本）的名称。那么，为什么它要从 URL 中获取值呢？ （允许XSS问题）。

Answer 7

我意识到为什么我不清楚之前的答案：
基本上，我认为 example.php/some/extra/things 只会导致“404 页面未找到”。然而，服务器实际上还是执行了 /example.php 。
（相比之下，它不适用于 /example.html/some/extra/things 或 /example.php"some/extra/things 因为两者都会导致 404 。

由于 $_SERVER['PHP_SELF'] 包含 .php/ 之后的部分（与 $_SERVER['SCRIPT_NAME'] 不同） 像这样的代码这：

<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
    <!-- form contents -->
</form>

如果有人点击链接
/example.php/%22%3E%3Cscript%3Econsole.log('XSS')%3C/script%3E%3C!-- 浏览器向服务器发送请求并接收

<form method="post" action="/example.php/"><script>console.log('XSS')</script><!--">
    <!-- form contents -->
</form>

：结果在浏览器中看起来与 /example.php/ 相同，但它运行 JS 代码。

---

有评论询问 htmlspecialchars 如何防止它。
如果使用 htmlspecialchars:

<form method="post" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF']); ?>">
    <!-- form contents -->
</form>

则得到：

<form method="post" action="/example.php/"><script>console.log('XSS')</script><!--">
    <!-- form contents -->
</form>

所以它不会运行该脚本。