🛡️口径说明与常见误填

只测自己拥有或书面授权的系统，先在本地验证

六类载荷

XSS、SQL 注入、路径穿越、命令注入、SSRF、越权自查常用 payload 分类陈列。

场景标注

每条标注触发场景（登录框、下载接口、回调参数等）与修复建议。

搜索即达

关键词搜 xss、union、passwd、ssrf 直达目标条目，一键复制。

合法声明

仅用于你拥有或获书面授权的系统自查与教学演练，优先本地或预发验证。

修复导向

不只给验证姿势：参数化、输出编码、CSP、最小权限一并写明。

工具简介

使用方法

更新记录

常见问题

留言

这个工具解决什么问题

上线前想给自家系统做安全体检，却记不全各类测试姿势？本页收录 XSS、SQL 注入、路径穿越、命令注入、SSRF、越权六类常用自查载荷，每条标注触发场景与修复建议，搜索即达、一键复制；所有示例均为无害验证型 payload，仅面向已授权系统的自测与教学演练。

三条自测守则

① 只碰授权目标：对未授权系统测试在多数国家/地区违法，先在本地或预发环境验证。

② 用无害载荷验证：alert 弹窗、延时回显即可证明漏洞存在，不要注入窃取逻辑。

③ 修复靠代码不靠 WAF：参数化查询、输出编码、CSP 是第一道防线，WAF 只是纵深防御。

怎么用

第 1 步 · 按类筛选载荷

点 XSS、SQL 注入、路径穿越、命令注入、SSRF、越权分类标签，或关键词搜索。

第 2 步 · 看场景与修复

每条卡片展示 payload、触发场景说明与对应修复建议。

第 3 步 · 复制到本地验证

一键复制载荷贴进自己系统的测试环境复现，修复后回归打勾。

更新记录

v1.0

2026-11-02

2026-11-02 上线首个版本2026-11-02 新增越权自查与 SSRF 分类条目

常见问题

XSS 测试 payload 有哪些常用类型？

自查三件套：属性逃逸（闭合引号尖括号后接 img 标签 onerror）、标签注入（svg onload）、DOM 型（检查 location.hash 是否直接进 innerHTML）。用无害函数弹窗验证即可，不要注入窃取逻辑。

SQL 注入常用语句怎么自查？

经典顺序：永真式闭合看登录回显变化，ORDER BY 递增探列数，UNION SELECT NULL 占位对齐回显列，最后用 AND SLEEP 延时验证时间盲注。任一命中说明未参数化，改预编译即可根治。

网站上线前自测安全清单包含什么？

本页六类各过一遍，再加：默认口令与调试页关闭、错误信息不泄漏堆栈、.env 与备份文件不可下载、上传目录禁解析、CORS 不用通配、管理接口加二次验证。清单化逐项打勾比凭感觉可靠。

反射型 XSS 怎么验证？

把 payload 放进 URL 参数回车，若响应 HTML 里原样出现且被浏览器执行即为反射型；重点查搜索框、报错页、回调参数。修复靠输出编码加 CSP，只过滤关键字必被绕过。

WAF 绕过测试思路怎么科普？

防御视角理解即可：WAF 靠特征串匹配，所以存在大小写、注释分割、编码变形等绕过研究；自查的正确姿势是验证 WAF 规则是否覆盖你的框架特性（如二阶注入、JSON 体），并始终以代码层参数化为第一道防线。

💬 留言板 0

全部留言需审核通过后展示

💬

还没有留言，来抢沙发吧！

✍️ 说点什么

游客留言，登录 可关联账号

0 / 500

📨 提交留言

🎉

留言已提交！

现在只有你自己能看到这条留言（已标上「待审核」），管理员审核通过后才会展示给所有人～

再留一条

🔗 相关工具

🛡️

security.txt 生成器漏洞披露文件生成

→

🧩

.env 配置模板生成器环境变量引用自动巡检

→

📡

SSE 流式接口测试器事件流在线调试

→

📡

PostMessage 跨域调试器父子页面通信演示

→