在PHP應用程序開發中不正當使用mail()函數引發的血案

一、前言 在我們挖掘PHP應用程序漏洞的過程中，我們向著名的Webmail服務提供商Roundcube提交了一個遠程命令執行漏洞(CVE-2016-9920)。該漏洞允許攻擊者通過利用Roundcube接口發送一個精心構造的電子郵件從而在目標系統上執行任意命令。在我們向廠商提交漏洞，發佈了相關的漏洞分析文章後，由於PHP內聯函數mail()導致的類似安全問題在其他的PHP應用程序中陸續曝出。在這篇

>>阅读原文<<