このリポジトリはWebアプリケーションセキュリティとペンテスト・CTF向けのペイロード集とバイパス手法をまとめたチートシート集です。SQLインジェクションやXSS、SSRFなど脆弱性カテゴリごとにMarkdownファイルとペイロードのテキストファイルが整理されています。実行するツールではなく、調査・攻撃手法を参照するための知識ベースという位置づけです。
各脆弱性カテゴリごとにディレクトリが分かれ、README.mdに手法の解説とペイロード例が載っています。「Intruder」フォルダにはBurp Suiteなどで使うワードリスト形式のtxtファイル(例: FUZZDB_MySQL.txtやLDAP_FUZZ.txt)が置かれています。「Files」フォルダには実際に動くPythonスクリプト(LFI2RCE.pyなど)やサンプルファイルが含まれています。サイト全体はmkdocs-materialでビルドされ、GitHub Actionsのcheck-markdown.ymlがmarkdownlint-cli2でMarkdown品質を検証します。mkdocs-build.ymlはmasterブランチへのpush時にサブモジュールを取り込みgh-deployでサイトを公開する仕組みです。pre-commit-config.yamlにはAPIキーや秘密鍵の混入を防ぐフックの設定例も載っています。
- STEP 01
git cloneしてフォルダを開くと、脆弱性カテゴリ名のディレクトリが数十個並んでいるのが見えます。
- STEP 02
例えば「SQL Injection」フォルダを開くと、README.mdに手法解説、Intruderフォルダに実際のファジング用ワードリストが多数入っています。
- STEP 03
「File Inclusion/Files/LFI2RCE.py」のようなスクリプトはそのままローカルでpython実行でき、phpのフィルタチェーンを使ったペイロード生成を確認できます。
- STEP 04
pip install mkdocs-materialなど数個のパッケージを入れてmkdocs serveを実行すると、READMEを教材化したサイトがローカルで立ち上がります。
- STEP 05
pre-commit-config.yamlを自分のプロジェクトに流用すると、コミット前にAPIキーや秘密鍵の混入をチェックするフックが動きます。
インストール不要でも、カテゴリ別に整理された攻撃手法の解説文とすぐに使えるペイロード・ワードリストのファイル一式が手に入ります。実際に動かせばmkdocsによる検索可能なチートシートサイトと、LFI2RCE.pyのような検証用スクリプトも試せます。ツールというより、ペンテストやCTFで参照する辞書・レシピ集として機能します。
実行可能なアプリケーションではなく静的なMarkdownとテキストファイルの集合体なので、動かして何かを自動処理してくれるわけではありません。
ペイロードの多くは特定のバージョンや設定に依存するため、対象環境によっては動作しないものが含まれます。
DISCLAIMER.mdが存在する通り、記載内容は教育目的であり、許可のない環境への使用は法的リスクを伴います。
mkdocsサイトのビルドにはPython環境とmkdocs-material等複数パッケージのインストールが必要で、単純な参照だけならGitHub上の閲覧で十分です。
ペンテスターやバグバウンティハンター、CTFプレイヤー、Web脆弱性を学びたい人が、手法の入口やペイロードの叩き台を探す用途に向いています。ファイル構成とサンプルコード(LFI2RCE.pyなど)から中身が実在する解説・ペイロード集であることは確認できるため、インストールせずとも「何が手に入るか」の判断は十分できます。ただし個々のペイロードの有効性は対象環境次第なので、実運用では動作検証が別途必要です。