用途：在漏洞赏金和渗透测试中系统测试 REST、SOAP、GraphQL API，发现认证绕过、IDOR、注入等 API 特有漏洞。
主要能力：API 侦察（探测 /swagger.json、/openapi.json、/api-docs 等文档端点，用 Kiterunner 发现路由，用 json2paths 提取路径）；认证测试（尝试 /api/mobile/login、/api/v3/login、/api/magic_link 等路径，检查限速，分别测试移动端与 Web API）；IDOR 测试与绕过（改 user_id、数组包裹、JSON 嵌套、重复参数、通配符、参数污染）；注入测试（JSON 中的 SQL 注入、命令注入、XXE、SSRF、.NET Path.Combine 路径穿越）；HTTP 方法测试与 Content-Type 切换；GraphQL 专项（内省查询、IDOR、SQL/NoSQL 注入、批量请求绕过限速、嵌套查询 DoS、XSS）；403/401 端点绕过（加 .json、?、/、%20、%09、#、..;/ 等）；输出利用（PDF 导出中的 LFI/SSRF/端口扫描/IP 泄露）与 limit 参数 DoS。
使用方式：需准备 Burp Suite 等代理、SecLists 等 API 字典、Python 脚本环境及目标端点。按侦察、认证、IDOR、注入、方法测试、GraphQL 测试的流程推进，可参考资料中的命令与载荷，如 kr scan https://target.com -w routes-large.kite、curl -X POST https://target.com/graphql -H "Content-Type: application/json" -d '{"query":"{__schema{types{name,fields{name}}}}"}'。
适用场景：漏洞赏金、授权渗透测试中的 API 安全评估。
限制：必须分别测试移动、Web、开发者 API 及所有版本，验证认证与未认证访问；不得假设各版本安全控制一致、跳过未文档化端点或忽略限速检查。资料未提供具体收费、价格与效果数据。