用途：为 CTF Web 安全挑战提供漏洞利用速查与技巧参考，覆盖客户端与服务端常见题型。
主要能力：按主题分文件组织，包括 SQL 注入（MySQL/PostgreSQL/SQLite/MongoDB、盲注/联合/报错、NoSQL、WAF 绕过）、服务端（SSTI 多引擎、SSRF、XXE、命令注入、PHP 类型混淆与伪协议、GraphQL）、代码执行与文件上传 RCE、反序列化（Java ysoserial、Python pickle、PHP）、客户端（XSS、CSRF、CSPT、缓存投毒、DOM 技巧、CSP 绕过、XS-Leak）、认证与访问（JWT 各类攻击、OAuth/OIDC、SAML、CORS）、Node 原型链污染、Web3、CVE 专项与 WAF 绕过。另附侦察、常见 flag 位置与多阶段利用链模式。
使用方式：需先安装依赖，如 pip install sqlmap flask-unsign requests；apt install hashcat jq curl（macOS 用 brew）；go install github.com/ffuf/ffuf/v2@latest；Java 反序列化需手动准备 ysoserial。速查命令示例：ffuf -u https://target.com/FUZZ -w wordlist.txt、sqlmap -u "https://target.com/page?id=1" --batch --dbs、flask-unsign --decode --cookie '<cookie>'。
适用场景：CTF 比赛中的 Web 方向解题与练习。
限制：仅用于授权测试与竞赛环境；具体环境、版本与题目差异会影响效果，资料未提供收费、平台支持与效果保证等信息。