PHPで$ _SERVERを偽造できますか？

Question

PHPでは、リモートファイルのインクルードは、$_GET,$_POST、$_COOKIEからの入力で行うことができます。私はそれが不可能であることを知っていますが、（任意のチャンスによって）$_SERVERから出てくる値を偽造することは可能ですか？

私は、$_SERVERがまれにリモートファイルのインクルードのソースになることを意味しますか？

Answer 1

$ _SERVER要求をアクセスするために使用されるパスの情報を含む配列である、ヘッダー等

値の数を直接設定し、操作ユーザにより（例えばQUERY_STRINGとして）ので、潜在的に脆弱であるれています$ _GETと$ _POSTとまったく同じ方法です。それはあなた自身のコードでこれらの値をどのように使用するかによって異なります。

偽造したくない特定のインデックス$ _SERVERをお持ちでしたか？

Answer 2

はい、$ _SERVERの値の一部を操作することは可能です。

しかし、LFIは、攻撃者が実行するコードへの参照を注入することに依存していますとそのコードを実行するにはPHPを入手してください。リクエストごとに送信されるURL以外のもの（静的なサイトを実行している）以外のものをすべて無視する場合を除き、変数によって参照されるコードの呼び出し方法に焦点を当てるより多くのメリットが得られます。