13. $_SERVER['PHP_SELF']とXSS脆弱性
皆さんは同じスクリプトへのリンクを貼る時、どの様に記述していますか？ $_SERVER['PHP_SELF']を用いることがあるのではないでしょうか。これを直接用 いることは危険です。なぜならば、$_SERVER['PHP_SELF']にはクロスサイト・ス クリプティング（XSS）脆弱性が存在するからです。 $_SERVER['PHP_SELF']はしばしば次のように使われます。 <form method="post" action="<?php echo $_SERVER['PHP_SELF'] ?>"> このページ（ここではhttp:/www.example.jp/example.php）へ下記の様にリンク を貼り、クリックしてみて下さい。 <a href="http://www.example.jp/ example.php/%22%3E%3Cscript%3Ealert(%27XS
![13. $_SERVER['PHP_SELF']とXSS脆弱性](https://cdn-ak-scissors.b.st-hatena.com/image/square/bed39b5962a5d552c95b6d796db8f55e72d32943/height=288;version=1;width=512/https%3A%2F%2Fxtech.nikkei.com%2Fimages%2Fn%2Fxtech%2F2020%2Fogp_nikkeixtech_hexagon.jpg%3F20220512)
HTML上でPHPを動かす(さくらサーバー：改訂）
ちょうど１年前にさくらサーバーで、SSHを使ってHTML上でPHPを認識させるための記事を書きました。ちなみにさくらサーバーのプランはスタンダード以上です。ライトプランでは動作を確認していません。 当時は問題なかったのですが、昨年の夏ごろ、PHPの脆弱性により不正アクセスされるケースがさくらサーバーで確認されるようになりました。 これは、さくらサーバーの不備ではなく、独自でPHPを設置した際に、そのバージョンが古く、新しいバージョンにしなかったというのが主な原因です。 私もすっかり自分でPHPを設置したことを忘れていたため、不正アクセスの餌食になりました。 随分時間が経過してしまったんですが、改めて、さくらサーバーでHTML上でPHPを動かすための方法をまとめたいと思います。 php.cgiの作成＆アップロード テキストエディタに下記の２行を記述して、さくらサーバーの wwwフォルダの直下
$_SERVER['PHP_SELF']は危険？ - [PHP + PHP] ぺんたん info
PHPで自ページから自ページへ遷移する動作をさせるとき、AタグやFORMタグに$_SERVER['PHP_SELF']を使う方法があります。 Aタグに使う場合 <a href="<?php echo $_SERVER['PHP_SELF']; ?>"> FORMタグに使う場合 <form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>"> しかしこのような目的で$_SERVER['PHP_SELF']を使うときには気をつけたほうがいいです。 XSS(クロスサイトスクリプティング)というセキュリティーホールになります。 CakePHPやZend Frameworkなどmod_rewriteを使っているときです。 例えば次のようなURL http://example.com/hoge.php/"><script>alert('
さくらインターネットのレンタルサーバーでHTMLのファイルでもPHPが使えるようにする方法 | 9ineBB
さくらインターネットのレンタルサーバーは特殊でした！ 他のレンタルサーバーだと.htaccessに2行ほど追加するだけでHTMLでもPHPが実行できるようになるのですが、さくらインターネットでは無理でした。 たぶんcgi版でPHPが動いてるから？ さくらインターネットでHTMLファイルでもPHPを実行できるようにする方法 まずは普通のサーバーだったらHTMLでPHPが実行できるようにする方法を紹介しておきます .htaceessに以下の2行を追加する AddType application/x-httpd-php .php .html AddHandler application/x-httpd-php .php .html さくらインターネットの場合は、.htaccessとphp.cgiファイルが必要 まずはCGIファイルをゲットしなければいけません さくらインターネットのサーバーに F
PHPでWEBページのタイトルを抜き出すサンプル | Creazy!
いきなりPHPなネタですが。 マッシュアップ系のサービスを作っていると、指定されたURLのページタイトルを取得したい時が頻繁にあります。そんな時、いわゆるスクレイピングしてタイトルを抜き出すんですが、近頃たくさんでまわっているスクレイピングツールやら、ライブラリやら使わなくてもページタイトルくらいは抜き出せるんで、簡単なサンプルを書いてみる。 <?php /** * ページタイトルを取得する関数 */ function getPageTitle( $url ) { $html = file_get_contents($url); //(1) $html = mb_convert_encoding($html, mb_internal_encoding(), "auto" ); //(2) if ( preg_match( "/<title>(.*?)<\/title>/i", $html,
三日坊主のフリーエンジニア…:【PHP】現在のURLやファイル名の取得方法 - livedoor Blog（ブログ）
よく忘れるのでメモです。 PHPの処理で、現在のURLを取得したかったり、ファイル名を取得したい時があります。 そのような時の出力パターンを一覧にしました。 例URL：https://xxxxx.com/hoge/index.html?id=1&get=1 ▼現在アクセスしているページのプロトコル▼ if (isset($_SERVER['HTTPS']) AND $_SERVER['HTTPS'] == 'on') { $protocol = 'https://'; }else{ $protocol = 'http://'; } echo $protocol ; 出力⇒ https:// ▼ 現在 アクセスしているページの ホスト名▼ echo $_SERVER["HTTP_HOST"]; 出力 ⇒ xxxxx.com ▼ 現在 アクセスしているページの パスとファイル名▼ echo $
PHP: 制御構造に関する別の構文 - Manual
Getting Started Introduction A simple tutorial Language Reference Basic syntax Types Variables Constants Expressions Operators Control Structures Functions Classes and Objects Namespaces Enumerations Errors Exceptions Fibers Generators Attributes References Explained Predefined Variables Predefined Exceptions Predefined Interfaces and Classes Predefined Attributes Context options and parameters Su
PHP: include - Manual
Getting Started Introduction A simple tutorial Language Reference Basic syntax Types Variables Constants Expressions Operators Control Structures Functions Classes and Objects Namespaces Enumerations Errors Exceptions Fibers Generators Attributes References Explained Predefined Variables Predefined Exceptions Predefined Interfaces and Classes Predefined Attributes Context options and parameters Su
Web2.0の道具箱: PHPでのXMLファイルの読込み
PHPでXMLファイルを読込む場合、以下の関数を利用できます。 file_get_contents - ファイルの内容を全て文字列に読込む xml_parse_into_struct - XMLデータを配列構造体に格納する サンプルとして以下のファイルsimple.xmlを読むことにします。 <?xml version="1.0" encoding="UTF-8"?> <books> <book> <title>AJAXの秘密</title> <author>あいう</author> </book> <book> <title>PHPのオブジェクト</title> <author>けけけ</author> </book> <book> <title>入門Linux</title> <author>リーナス</author> </book> </books> 処理するPHPコードは以下のもの
WordPressでYouTube API をPHPで記述する覚え書き。 | [k]id
WordPressで各ページのタグを元に関連した動画をYouTubeから表示できないかと思い、YouTube API を利用て、サイドバー表示用のソースを書いてみました。忘れてしまうといけないので覚え書き。。 define(“LOGID”,”xxx-xxxxxx”); のxの所に YouTube API で発行されたIDを入力。 <!-- begin youtube --> YouTube動画表示<br> <div> <?php if (have_posts()) : while (have_posts()) : the_post(); $posttags = get_the_tags(); if ($posttags) { foreach($posttags as $tag) { $samples[] = $tag->name; } } endwhile; endif;
![WordPressでYouTube API をPHPで記述する覚え書き。 | [k]id](https://cdn-ak-scissors.b.st-hatena.com/image/square/58010acb677b2e12d767cba4964b80c2de081a8d/height=288;version=1;width=512/https%3A%2F%2Fkidokorock.com%2Fwp-content%2Fthemes%2Fkid_2015%2Fimages%2Fcommon%2Fthumbnail%2F4.jpg)
PHP、文字列比較で「==」は禁止！ - goungoun技術系雑記帳
php数年やってますが、知らなかったという話。 単に私の知識不足なのかもしれませんが、 おそらく知らない人の方が圧倒的に多いと思う（妄想？）ので、 もっと宣伝？すべきだと思う。 結論から言うと、 文字列比較に「==」を使ってはいけません！ 絶対に「===」を使いましょう。 ネタ元は、 がるの健忘録 - 素晴らしき自動的な世界〜或いは「型のない」世界〜: http://d.hatena.ne.jp/gallu/20061108/p1 ようは「＝＝」と「＝＝＝」の違いの話、そんなことはわかってる。 数値対文字列で比較してるから、想定しづらい状況になってるだけで 型を意識しておけばよいこと。（だとこのときは思ってた） ところが、上記ネタ元のコメント欄みて愕然とした。 文字列対文字列の比較なら「＝＝」で比較しても何ら問題ない。 と思っていませんか？ 私は思ってました。 しかし、それは間違いなんです
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://digit-01.com/ownpage/php_relative_add.html
まるむしアンテナ php include_once(include)やrequire_once(require)で呼び出された時、呼出元ファイルの情報を得るには debug_backtrace を使うのじゃ！