ayodyadsr/PayloadBase

 ### 关于 PayloadBase 一个用于 Web 应用程序安全测试的精选载荷集合。 按漏洞类别组织——直接将任意文件加载到 Burp、ffuf、nuclei 或 gobuster。 维护者：[ayodyadsr](https://github.com/ayodyadsr) ### 仓库详情  [](https://github.com/ayodyadsr/PayloadBase/commits/main) [](LICENSE) ### 安装 **Zip** ``` wget -c https://github.com/ayodyadsr/PayloadBase/archive/main.zip -O PayloadBase.zip && unzip PayloadBase.zip && rm -f PayloadBase.zip ``` **Git（浅克隆）** ``` git clone --depth 1 https://github.com/ayodyadsr/PayloadBase.git ``` **Git（完整克隆）** ``` git clone https://github.com/ayodyadsr/PayloadBase.git ``` ### 类别 **注入** | 类别 | 描述 | |---|---| | `Command Injection` | Unix/Windows — 基础、链式、OOB、基于时间、过滤绕过、上下文相关 | | `CRLF` | 头部注入、重定向注入、响应拆分 | | `CSV Injection` | 公式注入（DDE）针对 Excel 和 Google Sheets | | `CSS Injection` | 属性注入、`@import` SSRF、基于属性选择器的数据外泄 | | `LDAP Injection` | 认证绕过、盲字符提取、过滤逃逸 | | `LaTeX Injection` | 通过 `\input` 文件读取、`\write18` RCE、`document()` SSRF | | `NoSQL Injection` | MongoDB 操作符注入、Redis/CouchDB/Elasticsearch 载荷 | | `Prompt Injection` | 直接、间接（文档/邮件）、越狱、系统提示提取 | | `SAML Injection` | XML 签名封装（XSW）、SAML 响应中的 XXE、属性和条件篡改 | | `Server Side Include Injection` | `exec`、`include`、`printenv` — 通过 SSI 指令实现文件读取与 RCE | | `SQL Injection` | 布尔型、基于时间、基于错误、OOB、WAF 绕过；各数据库：MySQL、MSSQL、PostgreSQL、Oracle、SQLite | | `SSTI` | Jinja2、Twig、Freemarker、Velocity、Pebble、ERB、Smarty、Mako、Handlebars、EJS、Nunjucks | | `XPath Injection` | 认证绕过、基于 XPath 字符串函数的盲提取 | | `XSLT Injection` | 通过 `document()` SSRF、Saxon/Xalan/MSXSL/PHP `registerPHPFunctions` 的 RCE | | `XXE` | 文件读取、SSRF、盲 OOB、XInclude、SVG/SOAP 向量、PHP 过滤链 | **客户端** | 类别 | 描述 | |---|---| | `Clickjacking` | 透明 iframe PoC、沙箱绕过、反向 tabnabbing | | `CORS Misconfiguration` | 源站反射、绕过技术、危险头部组合 | | `CSRF` | Token 绕过、SameSite 技巧、HTML/fetch/multipart PoC 模板 | | `DOM Clobbering` | 全局变量覆盖、基于 `form+input` 的多级覆盖、CSP 绕过 | | `Prototype Pollution` | 客户端与 Node.js 服务端小工具 | | `Tabnabbing` | `window.opener` 滥用、延迟重定向、opener 文档写入 | | `XS-Leak` | 帧计数 oracle、历史 API、`onload/onerror` oracle、定时、postMessage | | `XSS` | 反射型、存储型、DOM 型、盲型、多态、CSP 绕过、Angular 模板、外泄 | **访问控制** | 类别 | 描述 | |---|---| | `Account Takeover` | 密码重置污染、令牌/会话劫持、OAuth 基础 ATO、2FA 绕过 | | `Brute Force Rate Limit` | IP 伪造头部、OTP 绕过、密码喷洒词表 | | `IDOR` | 数字 ID、UUID 变体、对象特定 ID、参数污染、GraphQL IDOR | | `Mass Assignment` | 特权提升参数、框架特定载荷（Rails、Laravel、Django、Spring） | | `ORM Leak` | Django 过滤器遍历、Rails ActiveRecord ransack/scope 注入 | **认证** | 类别 | 描述 | |---|---| | `JWT` | 弱密钥、`alg:none`、RS256→HS256 混淆、框架默认值、泄露列表 | | `OAuth` | 核心端点、SAML、社会化登录回调、`.well-known`、令牌管理、PKCE 绕过 | **文件与上传** | 类别 | 描述 | |---|---| | `Directory Traversal` | Unix/Windows 路径遍历、编码绕过（URL、双 URL、Unicode、空字节） | | `LFI` | 路径遍历、空字节绕过、Windows LFI、RFI、日志中毒、LFI→RCE 链 | | `File Upload` | 扩展名绕过、MIME 类型伪造、魔术字节多态、Web Shell、文件名路径遍历 | | `Zip Slip` | 恶意 `.zip`/`.tar`/`.jar` — 覆盖提取目录外的文件 | **服务端** | 类别 | 描述 | |---|---| | `Insecure Deserialization` | Java ysoserial 载荷、PHP PHPGGC、Python pickle、.NET BinaryFormatter、Node.js node-serialize | | `Race Condition` | HTTP/2 单包攻击、Turbo Intruder 模式、TOCTOU 场景 | | `Request Smuggling` | CL.TE、TE.CL、TE.TE 混淆、HTTP/2 降级（H2.CL / H2.TE） | | `SSRF` | 云元数据（AWS/GCP/Azure/DO/Oracle/Alibaba）、绕过、内部服务、Kubernetes、Redis | **基础设施** | 类别 | 描述 | |---|---| | `Bypass` | WAF 绕过 — Cloudflare、Akamai、ModSecurity、F5 ASM；方法覆盖、头部技巧 | | `DNS Rebinding` | 攻击流程、JS 载荷、Singularity 框架参考、内部服务目标 | | `Insecure Management Interface` | 管理面板路径、框架控制台（Actuator、phpMyAdmin）、监控工具 | | `Insecure Source Code Management` | Git/SVN/Mercurial 暴露路径、CI/CD 配置文件、备份文件 | | `Reverse Proxy Misconfigurations` | Nginx 路径截断、路径规范化、通过头部滥用的内部访问 | | `Virtual Hosts` | VHost 发现词表 — 内部、云及环境特定子域名 | **API 与现代 Web** | 类别 | 描述 | |---|---| | `API` | 密钥测试、版本绕过、内容类型混淆、Mass Assignment、端点发现 | | `API Key Leaks` | 正则模式（AWS、GCP、GitHub、Stripe、OpenAI、Slack）；常见泄露位置 | | `GraphQL` | 端点路径、内省绕过、查询/变更名称、敏感字段、DoS | | `HTTP Parameter Pollution` | 服务器对重复参数的行为、原型污染通过 HPP、WAF 绕过 | | `Web Cache Deception` | 静态扩展名操纵、基于未键标头的缓存中毒 | | `WebSockets` | CSWSH PoC、握手头部注入、SQLi/SSRF/XSS 通过 WebSocket 消息 | **业务逻辑** | 类别 | 描述 | |---|---| | `Business Logic` | 价格操纵、货币混淆、工作流绕过、重放攻击、2FA 跳过 | | `Hidden Params` | 调试标志、管理员升级、角色注入、框架特定参数 | | `Open Redirect` | 协议绕过、@ 技巧、域名混淆、编码绕过、参数名词表 | **编码与格式** | 类别 | 描述 | |---|---| | `Encoding Transformations` | URL 编码、双重编码、Unicode 规范化、同形字、HTML 实体、Base64/Hex | | `Mutation` | XSS（Cloudflare/ModSecurity）、SQLi 编码路径遍历变体、HTTP 走私 | | `Polyglot` | 多上下文载荷，结合 XSS/HTML/JS/SSTI/SQLi/LFI | | `Type Juggling` | PHP 松散比较魔法哈希、`strcmp()` 绕过；JavaScript 类型强制转换 | **移动** | 类别 | 描述 | |---|---| | `Mobile` | 基础路径、推送端点、深链接、版本化、IAP、用户代理、同步、设备管理 | **杂项** | 类别 | 描述 | |---|---| | `Dependency Confusion` | 内部包名发现、恶意 postinstall 策略（npm/pip/gem） | | `Denial of Service` | ReDoS 模式、XML 十亿大笑、GraphQL 深度 DoS、哈希碰撞、zip 炸弹 | | `Insecure Randomness` | 弱 PRNG 模式、UUID v1 分析、PHP `mt_rand()` 预测、基于时间的令牌暴力破解 | ### 免责声明 仅供授权的安全测试和教育使用。仅测试您拥有或已获得明确书面许可的系统。维护者不对滥用承担责任。 ### 许可证 [MIT](LICENSE)

标签：Burp, CRLF 注入, CSS 注入, CSV 注入, CVE 相关载荷, ffuf, gobuster, LaTeX 注入, LDAP 注入, NoSQL 注入, nuclei, PayloadBase, Payload 库, Payload 收集, SAML 注入, SQL 注入, SSRF, TIP, Web 应用安全测试, 代码执行, 命令注入, 安全学习, 安全测试素材, 提示注入, 数据 exfiltration, 文件包含, 服务器端包含注入, 注入漏洞, 漏洞利用 PoC, 漏洞利用载荷, 重定向, 集群管理