Почему слэш после входа в систему после входа в систему.

Question

Немного фона. XSS сканер моей компании обнаружили, что login.php уязвима для:

https://uzypav/login.php/ab7e7%22%3E%3Cimg%20src%3da%20onerror%3dalert(1)%3E47eee 

Это было адресовано с htmlentities().

Я заметил, однако, что косая черта ("/") после моего имени сценария (https://uzypav/login.php/) останавливает изображения от отображения, и пока не отображает мой контент.

1. Это нормально?
2. Есть ли способ защититься от этого?
3. Это ситуация 404?

Посмотрите мой код ниже. Заранее благодарны за Вашу помощь.

<div style="background-image:url(images/back.jpg)"> 
<h1>LOGIN</h1> 
<form action="login.php" method="POST"> 
    <input id="username" type="text" name="username" value="" /><br> 
    <input id="password" type="text" name="password" value="" /><br> 
    <input id="submit" name="submit" type="submit" value="submit" /> 
</form> 
</div> 

<?php 
if(@$_POST["submit"] == "submit") 
    echo "submitted"; 


?> 

Answer 1

1. Да это нормально посмотреть ответ от @RoyBass
2. Да вы можете установить полный путь изображения https://uzypav/images/back.jpg в url вещь от css
3. Возможно, вы, возможно, хотите получить доступ к чему-то, чего он не должен, но вы можете сделать 2. и просто проигнорировать это.

Answer 2

Во-первых, я бы предложил открыть веб-отладчик и просмотреть http-запросы. Вероятно, вы увидите запросы на недостающий ресурс.
Поскольку путь изображения не начинается с «/», это относительный путь. Относительно текущего каталога, который является корневым каталогом в случае https://uzypav/login.php.
При добавлении прямой слэш, текущий каталог https://uzypav/login.php/ и браузер делает запрос на https://uzypav/login.php/images/back.jpg - который не существует (возможно)