php - "tamper proof"是如何在 php 中的 $_SERVER 变量？

Question

我是否会通过信任 $_SERVER 变量数组的内容来使用 $_SERVER['PHP_SELF'] 获取 php 文件的名称来冒很大的安全风险？

Answer 1

Many but not all of the $_SERVER variables are attacker controlled .例如 $_SERVER['SCRIPT_NAME'] 是安全的，因为 $_SEVER['PHP_SELF'] 是一个非常危险的变量，通常是 xss 的来源:

<?php
echo $_SEVER['PHP_SELF'];
?>

概念验证:

http://localhost/self.php/<script>alert(/xss/)</script>

通过查看 phpinfo 很容易看出这个漏洞的作用。 .