security-arsenal 是一份面向安全测试的载荷与技巧速查集合，来源于公开技能仓库，内容按漏洞类型组织，用于在获得授权的测试环境中进行漏洞探测与验证。
主要涵盖：XSS（基础探测、Cookie 窃取、CSP 绕过、mXSS、DOM XSS 的 source/sink）、SSRF（云元数据端点、内网服务指纹、IP 绕过写法如 http://2130706433、DNS 重绑定与重定向链）、SQL 注入（检测、联合查询与时间盲注、WAF 绕过）、XXE（文件读取、OOB 外带、DOCX/SVG 上传）、路径穿越、IDOR 与越权、认证绕过（JWT none 算法、hashcat 爆破、OAuth PKCE/state）、NoSQL 注入（MongoDB 操作符）、命令注入（含空格与关键字过滤绕过）、SSTI（多引擎探测与各引擎 RCE 载荷）、HTTP 请求走私（CL.TE/TE.CL/TE.TE/H2.CL 与检测方式）、WebSocket（IDOR、CSWSH、Origin 校验、消息注入）、MFA/2FA 绕过（OTP 爆破、复用、响应篡改、可预测性、备份码、流程跳过、竞态）以及 SAML 的 XML 签名包装（XSW）。
使用方式为按漏洞类型查找对应载荷，在授权范围内结合 Burp 等工具验证；部分命令（如 hashcat -a 0 -m 16500 jwt.txt ~/wordlists/rockyou.txt、ffuf 爆破 OTP、wscat 检查 Origin）需自行准备字典与目标凭证。文档还包含被始终拒绝的漏洞清单与条件有效需链式利用的表格说明。
限制与说明：仅限合法授权测试使用；资料未提供官方版本、许可、收费标准与维护方信息，暂未提供；部分载荷依赖目标配置与环境差异，实际有效性需逐项验证。