原文出處：https://blog.zsxsoft.com/post/38
今年HITCON上，baby cake這一題，涉及到了今年BlackHat大會上的Sam Thomas分享的File Operation Induced Unserialization via the “phar://” Stream Wrapper這個議題，見：https://i.blackhat.com/us-18/Thu-August-9/us-18-Thomas-Its-A-PHP-Unserialization-Vulnerability-Jim-But-Not-As-We-Know-It-wp.pdf 。它的主要內容是，通過phar://協議對一個phar檔案進行檔案操作，如file_get_contents，就可以觸發反序列化，從而達成RCE的效果。
文章圖片來源：https://blog.zsxsoft.com/post/38
前言引用來源：https://blog.zsxsoft.com/post/38
－－－－－－－－－－－－－－－－－－－
如果你認同我們每日分享的文章，請幫我們按個讚並且點擊追蹤「搶先看」，讓我們提供最新消息給您！您的分享及點讚，是我們持續推廣資訊安全最大的動力來源。
https://www.facebook.com/LonelyPoPo/
