用途：审计 Web 应用的 MFA/2FA 实现，验证 TOTP、短信/邮件 OTP、推送通知等流程能否被绕过，并评估备用码与账户恢复流程的安全性。
主要能力：映射 MFA 流程并采集错误 OTP 基线响应；测试 OTP 验证限速（连续 20 次错误尝试）；测试 OTP 重用；通过代理（如 Burp Suite）进行响应篡改；用预 MFA 会话 Cookie 直接访问 MFA 后页面；使用 GNU parallel 并发提交同一 OTP 测试竞态条件；对备用码进行暴力破解抽查；探测免重新验证的 MFA 关闭端点；检查 Cookie 与客户端存储中的 MFA 状态标志。
必要用法：需安装 curl；竞态测试需安装 GNU parallel（apt install parallel）；需准备已注册 MFA 的有效测试账户，并了解 MFA 验证端点与参数名。输入变量包括 BASE_URL、MFA_ENDPOINT、POST_MFA_PAGE、SESSION_COOKIE、KNOWN_OTP、MFA_PARAM。工作流按步骤执行，最终依据 REFERENCE.md 的严重性指南分类发现并给出修复清单。
适用场景：Web 应用 MFA 安全审计、渗透测试中的认证绕过验证、备用码与账户恢复流程评估。
限制：必须使用专用测试账户，重复失败可能锁定真实账户；TOTP 暴力破解理论可行但受 30 秒有效期与限速制约；短信 OTP 的 SIM 交换与 SS7 攻击需作为独立威胁向量另行测试；响应篡改测试在服务端校验响应完整性时可能无结论，应记录为通过。部分端点路径可能非标准，需借助浏览器开发者工具捕获实际提交 URL。