XSS через date() в PHP

[VY_CMa]

Взято тут (http://0xa.li/php-date-is-xssable/).

В основе лежит отображение как-есть не подходящих символов в качестве аргументов функции.

За счет экранирования можно добиться вывода чего угодно.

Пэйлоад:


Code:
');
?>

Цели: https://github.com/search?q=date%28%24_GET&type=Code&ref=searchresults

У автора в блоге кавычки сломанные.

Пример:

http://makescreen.ru/i/2140734a9fc74377bbce55c274546d.jpg

На заметку, сюда относятся еще и gmdate, и strftime и прочие, которые ретурнят строку.

[Rebz]

забавный баг =)

[Kruzak]

это не баг

какой смысл делать так "date($_GET" при программировании?

любые GET/POST запросы должны проходить фильтрацию