XSS в обход sprintf (Задание из CTF, никакой чернухи)?

Question

[@ _ @]

ДИСКЛЕЙМЕР: Задание из CTF. Никакой чернухи или злого умысла здесь нет
Есть строка PHP кода следующего содержания

echo sprintf('<form action="%s" method="post">', $_SERVER['PHP_SELF']).PHP_EOL;

Как можно обоийти sprintf и сделать XSS-инъекцию?

Comments

[rPman]

sprintf не меняет выдаваемую строку, считай тупо ее копирует
xss это инжект скриптов на страницу через посылку специальных данных в форму, где этиданные не экранируются, например если выводить как есть то что пользователь послал в inout формы, то атакующий может туда javascript:.... послать

формально от PHP_SELF защищаться не надо, но мало ли что там на mod_rewrite-д веб сервер туда, поэтому чтобы уж наверняка, считать нужно все поступающее из вне - опасным кодом, и проверять на допустимые символы

[FanatPHP]

Очень смешной вопрос, типа "ограбить банк в обход бордюра? Как можно обойти поребрик и взять деньги? " Да блин, перешагнуть и взять!

С чего вы вообще решили, что спринтф имеет хоть какое-то отношение к защите чего бы то ни было?

[@ _ @]

FanatPHP, так как конкретно это сделать?

[FanatPHP]

ахаха, а вы забавный :)

Answer 1

[@ _ @]

Просто добавь к URL
/"><script>alert(1);</script>
Чел, sprintf тупо вставляет в строку значение. Он не экранирует каким-либо образом. Можно было бы просто конкатенацией сделать. Ничего бы не изменилось.

Answer 2

[index0h]

Не защитит

Comments

[@ _ @]

А каким образом можно обойти?

[SagePtr]

@ _ @, вот тут примеры: https://html.form.guide/php-form/php-form-action-self/

[@ _ @]

SagePtr, тут не слова про спринф. Все перечисленные там способы работают только, когда нет спринтф

[index0h]

sprintf занимается только выводом по шаблону, не более и не менее того.
т.е. если в выводимой строке будет находится нечто опасное - оно как есть будет выведено.
экранирование, или удаление тегов, что реально может защитить от xss - это полностью отдельная функциональность. которая не входит в задачи sprintf.

Answer 3

[Антон Шаманов]

sprintf - функция для форматирования строк, при чем тут фильтрация данных? её вообще можно опустить

echo "<form action=\"$_SERVER['PHP_SELF']\" method=\"post\">";

Comments

[Антон Шаманов]

вопрос в том как ты вообще можешь $_SERVER['PHP_SELF'] генерируемое PHP?