PHP Misconfiguration: register_globals Enabled

如果将 PHP 配置为对所有的 Environment、GET、POST、Cookie 及 Server 变量进行全局注册，会导致意外行为，使系统容易受到攻击者的攻击。

如果启用 register_globals 选项，会导致 PHP 对 EGPCS（Environment、GET、POST、Cookie 及 Server）变量进行全局注册，这样一来，任何用户在任何 PHP 程序中都将能访问这些变量。如果程序员在编写程序时启用此选项，或多或少都会导致程序察觉不到它们所依赖于的数值来源，这会导致运行正常的环境发生意外行为，使系统容易受到恶意环境中的攻击者发起的攻击。由于认识到 register_globals 所隐含的安全隐患，在 PHP 4.2.0 中默认禁用了该选项，而在 PHP 6 中弃用并删除了该选项。

示例 1：以下代码容易受到 cross-site scripting 攻击。程序员假定 $username 的值来源于由服务器控制的会话，但是攻击者可能会为 $username 提供一个恶意值来代替请求参数。如果启用 register_globals 选项，此代码会在它所生成的 HTML 内容中包含由攻击者提交的恶意值。

<?php
if (isset($username)) {
    echo "Hello <b>$username</b>";
} else {
    echo "Hello <b>Guest</b><br />";
    echo "Would you like to login?";

}
?>