Вопрос про инъекцию PHP

[Conductor33]

Здравствуйте. Набрел я на днях на XSS уязвимость такого рода: вводишь ссылку на ресурс с каким-то GET параметром- отображается новая страница, в коде которой несколько раз встречается очищенная от некоторых символов введенная ссылка. В общем в одном месте я обошел фильтры... где че надо (кавычки, теги) закрыл, добавил новые HTML теги со ссылками, alert.

https://сайт.ру/*?id=%27%27%22%3E%3C/div%3E%3C/form%3E%3C/div%3E%3C/div%3E%3C/div%3E%3C/div%3E%20%3Ca%20href=%22http://google.com%22%3E111111%3C/a%3E%0A%0A%3C%3Fphp%20phpinfo();%20%3F%3E%0A%0A%3Ca%20href=%22http://google.com%22%3E222222%3C/a%3E%3Ciframe/onload=%27alert`333333`%27%3E%3C

Да все отбражается, все работает. Да и бог с ним с этим XSS. Вопрос такой. Как это все обрабатывается? Ведь раз обрабатывает PHP, почему не работает добавленный мной код PHP?

Голяком phpinfo(); без <?php ?> отображается, как текст прямо на страницу.
Нутром-то я понимаю, что это не будет работать. Но коль уж не понимаю почему, закрадывается мысль, что я просто что-то не так делаю. Объясните пожалуйста суть этого процесса. К великому сожалению, прочитать этот файл PHP я не могу, мне доступен лишь только вывод браузера. Возможно ли внедрение кода таким образом при каких-либо определенных условиях? Может я что-то упускаю, или это на корню невозможно? Заранее огромное спасибо

 

[Trager]

Добрый день! Это может не работать, если не используется PHP в качестве бэкэндового языка. Также советую посмотреть MIME-тип в HTTP заголовках.

 

[larchik]

или это на корню невозможно?

Привет. В этом случае именно так. Ты внедряешь код в страницу на стороне клиента, то есть себе в браузер, грубо говоря.
PHP-инъекция, что бы она отработала, должна быть на стороне сервера, код php должен обрабатываться сервером..
upd: сначала написал, потом только заметил, что вопросу два года.