用途：在漏洞赏金与渗透测试中系统测试 REST、SOAP、GraphQL API，发现认证绕过、IDOR/BOLA、注入、SSRF、XXE、速率限制缺陷等问题。
主要能力：按流程覆盖 API 侦察、认证测试、IDOR、注入、HTTP 方法测试与 GraphQL 专项测试。侦察阶段可检查 /swagger.json、/openapi.json、/api-docs、/swagger-ui.html，用 kr scan https://target.com -w routes-large.kite 发现路由，用 python3 json2paths.py swagger.json 提取路径。认证测试关注 /api/mobile/login、/api/v3/login、/api/magic_link、/api/admin/login 等入口及限速情况。IDOR 除直接改 ID 外，还给出数组包裹、JSON 包裹、重复参数、通配符、参数污染等绕过思路。注入示例包括 JSON 内 SQL 注入、命令注入、XXE、SSRF、.NET Path.Combine 路径穿越。方法测试遍历 GET/POST/PUT/DELETE/PATCH 并切换 Content-Type。GraphQL 部分含自省查询、IDOR、注入、批处理绕过限速、嵌套查询 DoS、XSS 及工具清单。另含 403/401 端点绕过、PDF 导出利用、限速 DoS 与常见漏洞核对表。
使用方式：需代理工具（如 Burp Suite）、API 词表（SecLists、api_wordlist）、协议基础、Python 及目标端点文档。
适用场景与限制：仅用于获得授权的安全测试；技能要求分别测试移动端、Web 与开发者 API，检查各版本，验证认证与未认证访问，勿假设各版本安全控制一致，勿跳过未公开端点与限速检查。资料未提供具体定价、平台支持或效果承诺。