<?php

   libxml_disable_entity_loader(true); 

?>

xml的漏洞。在simplexml_load_string之前使用上面那句话。