【Web安全】从xxe到phar反序列化

**重要：**在 PHP 里面解析 xml 用的是 libxml，当 libxml 的版本大于 2.9.0 的时候默认是禁止解析 xml 外部实体内容的。

以下代码存在 xxe 漏洞。
xml.php：

<?php
class Test{
   
   
    public $cmd;
    public function __destruct()
    {
   
   
        eval($this->cmd);
    }
}
$xmlfile = @file_get_contents("php://input");
$result = @simplexml_load_string($xmlfile)