用途：识别并验证文件路径遍历（目录遍历）漏洞，即用户可控输入被传入文件系统 API 且缺乏校验时，攻击者可读取预期目录之外的文件，如配置、凭据与源码。仅限教育或经书面授权的安全评估，使用前须确认目标 URL/IP、账号与授权范围，未确认时保持只读并提供防御建议。
主要能力：定位常见文件参数（file、path、page、template、filename、download、view 等）；测试基础遍历、绝对路径注入、编码与过滤绕过（URL/双重编码、嵌套序列、空字节、扩展名校验绕过、基目录校验绕过）；枚举 Linux 与 Windows 高价值目标文件；结合 Burp Suite、ffuf、wfuzz 自动化测试；并演示 LFI 到 RCE 的升级路径（日志投毒、/proc/self/environ、php://filter、php://input、data://、expect://）。
使用方式：先映射应用文件操作点，再用 curl 等发送遍历载荷，逐步尝试编码与绕过变体，最后用自动化工具批量 fuzz 并按响应大小/内容筛选成功结果。示例命令保持原样，如 ffuf -u "http://target.com/image?filename=FUZZ" -w /usr/share/wordlists/traversal.txt -mc 200。
适用场景：授权渗透测试、CTF、实验室或一次性虚拟机中的 Web 安全评估。
限制：无法读取应用用户无权限访问的文件；/etc/shadow 等需 root；扩展名与基路径校验、WAF 可能阻断载荷；须遵守授权范围，避免访问真实敏感数据并记录所有成功访问。修复建议包括 basename()、白名单校验、realpath() 规范化并校验基路径前缀等。具体收费、平台与效果资料暂未提供。