web-pentest 用于 Web 应用与 API 渗透测试，覆盖黑/灰/白盒安全评估、REST/GraphQL/WebSocket API 测试、认证与会话测试（JWT、OAuth/OIDC、SAML）、业务逻辑与竞态条件挖掘，以及 WAF/CSP 绕过和 CDN 层攻击。
主要能力按输入信号路由：参数引用类触发 IDOR/BOLA 与访问控制测试；URL/回调类触发 SSRF 与云元数据、开放重定向；价格/数量/优惠券触发业务逻辑与单包竞态；模板/预览回显触发 SSTI 与反射型 XSS；搜索/过滤/排序回显触发 SQLi、XSS、命令注入；token/JWT/Cookie 触发 JWT 伪造与会话缺陷；序列化数据触发反序列化与原型污染；CDN/缓存场景触发 desync 与缓存投毒。
使用方式：先由侦察结果获取主机、指纹、端点与参数；可用 ffuf、nuclei 做内容发现与弱点扫描；sqlmap 做 SQL 注入自动化；随后调用自带脚本，如 python3 scripts/xss_csp_forge.py contexts、python3 scripts/ssrf_toolkit.py probe、python3 scripts/desync_probe.py、python3 scripts/proto_ssti_gadgets.py detect、python3 scripts/jwt_forge.py、python3 scripts/graphql_audit.py、python3 scripts/race_single_packet.py 等。确认的问题按严重性、CWE、CVSS、PoC、证据、ATT&CK ID 与修复建议归档到模板中。
适用场景为授权范围内的 Web 应用与 API 安全测试，参考文档覆盖注入、客户端、SSRF/元数据、HTTP desync/缓存、SSTI/反序列化、认证与访问控制、业务逻辑滥用及代理 MCP 集成。
限制与注意事项：需在授权范围内使用；时间盲注较慢且噪声大；污染 proto 可能影响共享缓存页面；desync 会污染同租户流量，仅限受控测试；部分技术可能触发 EDR 告警；脚本的具体参数与输出细节以仓库实际为准。本文档未提供收费、价格与平台支持等信息。