<?php

class EjemploDePHPObjectInyection {

    public $comando=null;

    public function __destruct() {

        system($this->comando);
    }


}

$ejemplo = unserialize($_GET['cod']);
?>