把 Composer 的 vendor/ 暴露在網站根目錄下會發生什麼事？2026 HITCON x DEVCORE Wargame 從 167 個熱門 PHP 套件打穿 53 個，回顧實際的串洞手法，並整理如何關掉 vendor/ 的 Web 入口。
PHP 程式語言在設計時忽略 Windows 作業系統內部對字元編碼轉換的 Best-Fit 特性，導致未認證的攻擊者可透過特定的字元序列繞過舊有 CVE-2012-1823 的保護；透過參數注入等攻擊在遠端 PHP 伺服器上執行任意程式碼。
HITCON 2020 DEVCORE Wargame 其中一題 sqltest 解析。需要構造一個字串，同時為合法的 SQL 語句與 PHP 語句，讓 SQL 執行時有回傳值且 PHP 執行時能夠執行任意系統指令。
很多網站都有取得使用者 IP 的功能，但是到底有多少網站寫的是對的？網路上又有多少錯誤的教學？本文將介紹利用 HTTP Header 偽造 IP 的方式，以及如何安全、正確取得 IP 的教學。
本次的案例剖析，我們來看看 PHP 官方網站。PHP 網站這幾天被揭露嚴重安全漏洞，導致攻擊者可直接讀取網站原始碼。雖說官方表示這是 feature 不是 bug，但對我們開發者而言是個非常好的借鏡！