用途：该技能用于在 CTF 挑战中测试 Web 应用漏洞，涵盖 SQL 注入、XSS、CSRF、LFI/RFI、SSTI、文件上传绕过、JWT 令牌篡改，以及用 Burp Suite 分析 Web 流量。
主要能力：提供各漏洞的检测与利用模式。SQL 注入包含报错、联合查询、时间盲注与布尔盲注；XSS 包含反射型与存储型 payload 及过滤绕过；CSRF 提供表单 PoC 与无令牌校验测试；LFI 提供路径穿越与 php://filter 等 payload；SSTI 覆盖 Jinja2、Twig、ERB、Smarty、Velocity 的探测与 Jinja2 利用；文件上传包含扩展名、Content-Type 与魔术字节绕过；JWT 包含解码、alg:none 伪造与弱密钥爆破。
使用方式：按漏洞类型加载对应模式，用 Python requests 发送 payload 并依据响应特征判断，例如 SQL 注入检测用 requests.post 提交 payload 列表，盲注用 SLEEP(5) 计时或 ASCII(SUBSTRING(...)) 逐字符提取；SSTI 用 {{7*7}} 等探测是否返回 49。附带资源包括 scripts/ 下的 csrf_grabber.py、jwt_tamper.py、lfi_tester.py、ssti_tester.py、upload_tester.py，payloads/ 下的各类 payload 文件，webshells/ 下的 PHP、ASPX、JSP、Node.js shell，templates/web_requests.py 以及 wordlists/ 字典。
适用场景：CTF 竞赛中的 Web 题目测试与漏洞验证。
限制：资料未提供具体安装命令、依赖版本、收费信息与效果保证；部分示例（如 PHP filter chain）在原文中已截断，需自行补全；所有测试应仅在获得授权的目标上进行。