用途：面向授权测试场景，系统排查文件上传功能的漏洞，如 RCE、存储型 XSS、SSRF 与路径遍历。
主要能力：提供十种上传绕过技术表（双扩展名、空字节、扩展名变体、MIME 伪造、魔术字节前缀、多语言文件、SVG JavaScript、DOCX 中的 XXE、ZIP slip、文件名注入），并附带魔术字节参考（JPEG、PNG、GIF、PDF、ZIP/DOCX/XLSX）。
用法示例：用 Content-Type 伪造上 shell.php；用 shell.php%00.jpg 绕过；用 GIF89a 前缀加 PHP 代码绕过魔术字节校验；上传含 script 的 SVG 触发存储型 XSS；构造含外部实体的 DOCX 触发 XXE；用 evilarc 生成 ZIP slip 压缩包。
适用场景：经典 PHP/JSP/ASPX 上传目录可访问、解析器处理 Office/SVG 文件、图片视频处理库（ImageMagick、FFmpeg）解析远程 URL、HTML 转 PDF 服务存在 SSRF 等。
限制：资料未提供具体平台或价格信息；技能仅用于授权测试；有效发现需验证文件被服务、执行或解析，仅上传成功不构成漏洞；文中 CVE 与 PoC 链接需自行评估可用性。