Ни с каким хаком. Это специфика эксплойта. Посмотри последнее видео про взлом phpBB. Там посление два символа через SUBSTRING() достаются.