PHP_SELF ist böse! Potentielles Cross Site Scripting (XSS)!
Geschrieben von skaldrom am 7. Mai 2008
Was haben wir gelernt?
Ja, uns wurde gelehrt, dass man wenn immer möglich nicht Dateinamen direkt, sondern eine Variable angeben soll, die für den Dateinamen steht. Warum konnte mir zwar noch niemand so genau sagen, aber ich nehme an, dass es darum geht, dass der Dateinamen oder der Pfad ändern könnte. So habe ich ziemlich oft ganz brav geschrieben:
...
</form>
Und (zum Glück) bin ich nicht der Einzige. Eine kleine Suche auf Googles Codesearch hat gezeigt, dass mindestens Mambo, PHPMyFAQ, Einige Wordpressthemes und viele mehr dasselbe Problem haben. Ich bin bei Weitem auch nicht der Erste, der über Probleme mit dieser Technik erfahren und darüber geschrieben hat.
Problem? mit $_SERVER['PHP_SELF']?
Lasst mich ausholen: Der Apache Webserver hat eine Option AcceptPathInfo, welche standardmässig auf On ist. Mit dieser Option mappt der Apache beliebig lange Pfade auf Dateien, sofern diese irgendwie Bestandteil des Pfades sind. Der Rest wird in Umgebungsvariablen mitgegeben.
Gimme Code
Nehmen wir an, es gäbe eine Datei /subdir/mypath.php welche so aussieht:
Bei einem Aufruf von: http://localhost/subdir/mypath.php/additional/stuff/nonsense.php?para=4 mappt Apache netterweise alles auf unsere Datei http://localhost/subdir/mypath.php und verstaut den Rest im $_SERVER Array. Die Ausgabe ist:
REQUEST_URI: /subdir/mypath.php/additional/stuff/nonsense.php?para=4 PHP_SELF: /subdir/mypath.php/additional/stuff/nonsense.php SCRIPT_NAME: /subdir/mypath.php
PHP_SELF übernimmt also den ganzen Krempel und würde ihn bei unserem Form auch so darstellen. Angenommen, wir haben ein PHP-Script mit der URL http://localhost/contact/myform.php mit folgendem Inhalt:
<form action=”<?php echo $_SERVER['PHP_SELF']; ?>” method =”post”>
Ruft man dieses nun mit folgender URL auf (die aufwändiger als notwendig konstruiert und des besseren Verständnisses wegen nicht URL-encodiert ist):
http://localhost/contact/myform.php/”></form>Hier ein Javascript: <script>alert(’gotcha’);</script><form action=”/contact/myform.php
erhält man:
<form action=”/”></form>Hier ein Javascript: <script>alert(’gotcha’);</script><form action=”/contact/myform.php” method =”post”>
Also vollkommen gültiges HTML (sogar das Form funktioniert) mit fremdbestimmbaren Seiteninhalt. Das ist ja wohl hässlich…
Theorie! Gib mir Praxis!
Ich weiss nicht, wie lange folgende Links funktionieren, beziehungsweise diese Sites anfällig für diese Art von XSS sind:
Digital Postcard (Kein XSS, aber mein Text 
):
Jobs. ch (nicht im Form, dafür mit hohem PageRank):
Was nutzt das dem bösen Hacker?
Text in Fremdpages einbauen, Phishing, Indentitätenklau und noch einiges Weiteres. Ein Folgeartikel wird mindestens eine Anwendung zeigen.
Was tun?
Ganz einfach: Das oft verschmähte $_SERVER['SCRIPT_NAME'] verwenden!!!
BTW: Viele Variablen in $_SERVER sind anfällig, aber alles muss ich ja auch nicht verplappern, oder?
30. August 2008 um 4:09
Naja eigentlich sollte man Server Vars auch nur im Hintergrund verwenden.
Zb mit denen eine var machen die wiederum als basis für die eigentlich zweckmäßige var ist.
auch könnte man diese vars dann vor der interpretation durch iene function jagen die nur gewünschten inhalt zulässt oder zumindest einige prüfungen macht
so könnte man den ganzen mist bereits im vorherein abfangen
30. August 2008 um 9:38
@Bofh
Jup, auf jeden Fall sollte man den Variablen von Aussen kein Bisschen trauen. Es gibt viele verschiedene Filtermöglichkeiten und man muss aufpassen, dass man keine Fehler macht und dann trotzdem wieder XSS-Lücken provoziert…