#phar-deserialization

업로드 필터가 보는 것은 파일 앞 네 글자뿐이고, 존재 여부를 묻는 file_exists 한 줄은 phar 스킴이 붙는 순간 역직렬화가 된다. GIF 로 위장한 phar 의 메타데이터에 쓰이지도 않는 클래스를 심어 소멸자로 원격 명령 실행까지 간다.