O‘zbеkiston rеspublikasi axborot va kommunikatsion tеxnologiyalarini rivojlantirish vazirligi

$_SERVER["PHP_SELF"] o'zgaruvchisi nima?

$_SERVER["PHP_SELF"] hozirda bajarilayotgan skript fayl nomini qaytaradigan super global o'zgaruvchidir.

Shunday qilib, $_SERVER["PHP_SELF"] yuborilgan shakl ma'lumotlarini boshqa sahifaga o'tish o'rniga sahifaning o'ziga yuboradi. Shunday qilib, foydalanuvchi forma bilan bir xil sahifada xato xabarlarini oladi.
htmlspecialchars() funksiyasi nima?

htmlspecialchars() funksiyasi maxsus belgilarni HTML ob'ektlariga aylantiradi. Bu < va > kabi HTML belgilarni < va >. Bu HTML yoki Javascript kodlarini (saytlararo skript hujumlari) shakllarga kiritish orqali tajovuzkorlarning koddan foydalanishini oldini oladi.

PHP forma xavfsizligi bo'yicha katta eslatma

$_SERVER["PHP_SELF"] o'zgaruvchisi xakerlar tomonidan ishlatilishi mumkin!
Agar sahifangizda PHP_SELF ishlatilsa, foydalanuvchi slash (/) va ba'zi saytlararo skript (XSS) buyruqlarini bajarishi mumkin.
Saytlararo skript (XSS) - bu odatda veb-ilovalarda topiladigan kompyuter xavfsizligi zaifligining bir turi. XSS tajovuzkorlarga boshqa foydalanuvchilar tomonidan ko'riladigan veb-sahifalarga mijoz tomonidagi skriptni kiritish imkonini beradi.
“test_form.php” nomli sahifada quyidagi shakl mavjud deb faraz qilaylik:
">
Endi, agar foydalanuvchi "http://www.example.com/test_form.php" kabi manzillar qatoriga oddiy URL manzilini kiritsa, yuqoridagi kod quyidagiga tarjima qilinadi:

Hozircha hammasi yaxshi.
Biroq, foydalanuvchi manzil satriga quyidagi URL manzilini kiritishini hisobga oling:
http://www.example.com/test_form.php/%22%3E%3Cscript%3Ealert('hacked')%3C/script%3E
Bunday holda, yuqoridagi kod quyidagiga tarjima qilinadi:

Ushbu kod skript yorlig'i va ogohlantirish buyrug'ini qo'shadi. Va sahifa yuklanganda, JavaScript kodi bajariladi (foydalanuvchi ogohlantirish oynasini ko'radi). Bu PHP_SELF o'zgaruvchisidan qanday foydalanish mumkinligining oddiy va zararsiz misolidir.
Shuni yodda tutingki, har qanday JavaScript kodini