PayloadsAllTheThings

这个资源解决什么问题

PayloadsAllTheThings 是漏洞利用 payload 和技巧集合，适合查找某类漏洞的测试样例、绕过方式和思路索引。

使用入口

• PayloadsAllTheThings GitHub 仓库
• PayloadsAllTheThings 在线文档

安装建议：推荐。

什么时候优先用它

• 已经判断出漏洞类型，需要 payload 参考。
• 需要查某类绕过技巧的常见写法。
• 写 WP 时需要补齐测试思路和分类。

常用入口

SQL Injection
Server Side Template Injection
File Inclusion
Command Injection
XSS Injection

典型 CTF 场景

• Web 漏洞题的 payload 参考。
• 遇到过滤时查相似绕过思路。
• 从漏洞分类反推测试清单。

常见坑

• 不能盲抄 payload，要先确认上下文。
• 很多 payload 面向真实环境，CTF 中可能需要简化或改写。

替代方案

• HackTricks
• PortSwigger Web Security Academy
• 自己沉淀的 payload 笔记