PHP XSSコマンド$ _SERVERを使用して、[ 'PHP_SELF']

Question

元の例はhere見出すことができる：

概要

フォーム要素：

<form method="post" action="<?php echo $_SERVER["PHP_SELF"];?>"> 

悪意のあるコードの一部誰かによってブラウザのアドレスバーに入力されます：http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E

この例では、フォームe lementは、以下に変換されます：私はアイデアを得る一方で、ウェブアドレスが存在しない場合、このでも動作しますなぜ

1. <form method="post" action="test_form.php/"><script>alert('hacked')</script> 
   

   、私は理解していません。 その人には、ウェブサイト が見つかりませんでしたというエラーのページがあります。ちょうど私たちが間違って というアドレスを間違って入力しても何も得られないのと同じですか？

2. サーバー上のPHPファイルに変更が保存されていないと、「ハッカー」以外の誰もが影響を受けますか？ 私は悪意のあるコード を手動で入力したハッカーであり、影響を受けたWeb ページをダウンロードするのは彼のブラウザだということです。

私はいくつかのコンセプトを間違っているはずです。私を修正してください。ありがとう

Answer 1

これは、Webアドレスが存在しない場合でも機能します。その人がウェブサイトが見つからないと言う何らかのエラーページを受け取ってはいけませんか？私たちが誤って間違ったアドレスを入力して何も得られなかったときと同じように？

スクリプトパスの後で余分なデータを許可するようにWebサーバーが設定されている場合はありません。 Apacheでは、これはAcceptPathInfo Directiveによって構成されています。

変更がサーバー上のphpファイルに保存されていないと、 "ハッカー"自身が影響を受ける他の人はどのように影響しますか？つまり、手動で悪意のあるコードを入力したハッカーで、影響を受けたWebページをダウンロードするのは彼のブラウザです。

XSS攻撃では、悪質なペイロードがターゲットのブラウザで実行されるように、攻撃者がこのURLを訪問するようにターゲットを取得する必要があります。これを行う1つの方法は、標的を悪意のあるリンクをクリックするように騙すことです。