PayloadsAllTheThings 渗透测试载荷大全

项目简介

PayloadsAllTheThings 是一个面向 Web 应用安全 的开源速查库，汇总了渗透测试、CTF 与漏洞研究中常用的载荷（payload）与绕过（bypass）技巧。项目按漏洞类型分章组织，每章通常包含漏洞说明、利用方式与多组示例载荷，适合在授权测试中快速查阅。

内容组织

每个章节一般包含以下文件：

• README.md：漏洞描述、利用思路与载荷示例
• Intruder：可直接导入 Burp Intruder 的字典文件
• Images：文档配图
• Files：文档引用的辅助文件

新增章节时可参考 _template_vuln 模板目录，保持结构统一。

典型覆盖方向

• 注入类：SQL 注入、命令注入、模板注入等
• 客户端类：XSS、CSRF、点击劫持等
• 文件与服务类：文件上传、目录遍历、SSRF 等
• 认证与权限：JWT、OAuth、权限提升等
• 枚举与信息收集：子域名、目录、参数发现等

使用建议

1. 先明确测试目标与授权范围，仅在合法场景使用。
2. 按漏洞类型定位章节，再结合目标技术栈筛选载荷。
3. 将 Intruder 目录下的字典导入 Burp Suite 等工具批量验证。
4. 把命中的载荷与绕过方式记录到自己的测试笔记中，形成方法论。

相关项目

同一作者还维护了 InternalAllTheThings（内网与 Active Directory 速查）与 HardwareAllTheThings（硬件/IoT 渗透 wiki），可按需扩展学习面。项目采用 MIT 协议，欢迎通过 PR 贡献新的载荷与技巧。