На днях заметил, что
оказывается в PHP 8, автоматическая десериализация метаданных
phar-архива, теперь отключена по умолчанию.
Фича стала известной после того, как
Orange Tsai использовал ее в своем таске на HITCON CTF в 2017 и закрепилась в нашей голове, как одна из техник эксплуатации чтения файлов в PHP.
Press F to pay respect.