Python .pth 劫持

php反序列化从基础到入门，包含内置类

详细讲解了python的AST逃逸，还有一些简单的利用方法

XXE（XML External Entity）是 XML 外部实体注入漏洞。当应用解析用户输入的 XML 且未禁用外部实体时，攻击者可以读取服务器文件、发起 SSRF 请求，甚至执行代码。XXE = 用户输入的 XML 没关外部实体 → 通过 SYSTEM “file:///…” 读文件 + SSRF 内网探测 + OOB 外带数据。