Payloads All The Things: Payload Bảo Mật Ứng Dụng Web
/PayloadsAllTheThings
Payloads All The Things là bộ sưu tập payload và kỹ thuật bypass khai thác lỗ hổng bảo mật ứng dụng web trên GitHub, bao quát từ SQL injection đến XXE. Đây là tài liệu tham khảo, không phải công cụ. Hãy dùng nó khi cần một payload khởi điểm cho một loại lỗ hổng cụ thể lúc pentest hay chơi CTF; bỏ qua nếu bạn cần một framework khai thác được bảo trì thay vì danh sách tĩnh.
Tìm Hiểu Về Payloads All The Things
Payloads All The Things là một repository GitHub do swisskyrepo duy trì, tổng hợp payload và kỹ thuật bypass cho bảo mật ứng dụng web, kiểm thử xâm nhập, và các thử thách CTF. Mỗi loại lỗ hổng có thư mục riêng kèm README.md giải thích cách khai thác, ví dụ payload, và thường có thêm bộ file dùng cho Burp Intruder. Một phiên bản web thay thế, PayloadsAllTheThingsWeb, hiển thị lại cùng nội dung cho ai muốn đọc mà không cần clone repo.
Nội Dung Bộ Sưu Tập Bao Gồm
- ✓Mỗi lỗ hổng có thư mục riêng kèm README.md mô tả cách khai thác và liệt kê payload mẫu, đúng theo cấu trúc tài liệu mà README nêu ra.
- ✓Nhiều mục đi kèm bộ file cho Burp Intruder, dùng được ngay thay vì phải tự tay chép lại danh sách payload.
- ✓Có thư mục _template_vuln để người đóng góp dùng làm khung dựng một chương lỗ hổng mới, theo README.
- ✓Các topic của repo trải khắp phạm vi bypass, enumeration, privilege-escalation, và nhiều hơn nữa, bên cạnh các danh sách payload cốt lõi.
- ✓Có các dự án đồng hành của cùng tác giả: InternalAllTheThings, bao quát các đường tấn công Active Directory và ghi chú pentest mạng nội bộ, và HardwareAllTheThings, một wiki về kiểm thử bảo mật phần cứng và IoT, cả hai đều được dẫn link từ mục 'AllTheThings family' trong README.
- ✓README còn dẫn tới một danh sách Books và kênh YouTube riêng cho ai muốn tài liệu dài hơi hơn.
- ✓PayloadsAllTheThingsWeb là phiên bản website có thể duyệt của cùng nội dung, để đọc mà không cần clone repo.
Ai Được Lợi Từ Tài Nguyên Này?
- •Pentester cần một payload khởi điểm cho một loại lỗ hổng cụ thể ngay giữa buổi kiểm thử, thay vì viết lại từ đầu.
- •Người săn bug bounty muốn kiểm tra xem đã có sẵn kỹ thuật bypass nào cho loại lỗ hổng họ vừa tìm thấy chưa.
- •Người chơi CTF muốn có một tài liệu payload phân loại sẵn để tra trong lúc làm thử thách có giới hạn thời gian.
- •Developer và kỹ sư AppSec muốn tìm hiểu cách một dạng tấn công hoạt động, vì README.md của mỗi mục giải thích cách khai thác song song với payload.
- •Người đóng góp muốn ghi lại một payload hay kỹ thuật mới, dùng thư mục _template_vuln làm khung khởi điểm.
Điểm Mạnh
- ✓Tổ chức theo từng loại lỗ hổng với cấu trúc thư mục nhất quán, nên bạn biết ngay chỗ cần tìm cho một dạng khai thác cụ thể.
- ✓Nhiều danh sách payload đi kèm bộ file cho Burp Intruder, đỡ mất công định dạng lại payload cho công cụ đó.
- ✓Cấp phép MIT, nên payload và cấu trúc được tự do tái sử dụng trong ghi chú, script, hay bài viết của riêng bạn.
- ✓Có CONTRIBUTING.md và một thư mục mẫu hoạt động sẵn, giúp việc gửi một payload hay kỹ thuật mới trở nên dễ dàng.
Những Điều Cần Lưu Ý Khi Sử Dụng Tài Nguyên Này
- △README không nói rõ tần suất từng thư mục lỗ hổng được rà soát hay cập nhật, nên độ mới của payload nhiều khả năng khác nhau tuỳ từng phần chứ không đồng đều.
- △Đây là tài liệu để đọc, không phải phần mềm để chạy: không có CLI hay API, nên phải tự chép payload ra và điều chỉnh cho phù hợp với mục tiêu của bạn.
- △GitHub liệt kê Python là ngôn ngữ chính của repo, nhưng README không cho thấy có công cụ cài đặt được nào đi kèm các danh sách payload.
- △Độ sâu nội dung theo từng danh mục không được ghi rõ, nên một số loại lỗ hổng có thể có nhiều mục và chi tiết hơn hẳn các loại khác.
Các Bộ Sưu Tập Và Tài Nguyên Bảo Mật Liên Quan
Câu Hỏi Thường Gặp
Payloads All The Things được phát hành theo giấy phép MIT, như được ghi trên trang GitHub của repo.
Payloads All The Things bao phủ nhiều vấn đề bảo mật ứng dụng web, tổ chức theo từng thư mục lỗ hổng riêng; danh sách topics của repo gồm bypass, enumeration, privilege-escalation, và vulnerability, cùng nhiều mục khác.
Payloads All The Things nhận đóng góp theo hướng dẫn trong CONTRIBUTING.md, và repo có sẵn thư mục _template_vuln để dựng khung cho một chương lỗ hổng mới.
Payloads All The Things có một phiên bản web tên PayloadsAllTheThingsWeb, xem tại swisskyrepo.github.io/PayloadsAllTheThings, hiển thị lại đúng nội dung như repo GitHub.
Cùng tác giả còn duy trì InternalAllTheThings, bao quát các đường tấn công Active Directory và ghi chú pentest mạng nội bộ, cùng HardwareAllTheThings, một wiki về kiểm thử bảo mật phần cứng và IoT, theo mục 'AllTheThings family' trong README.
Ai nên thử — và ai nên bỏ qua
Hãy thử Payloads All The Things nếu bạn trực tiếp kiểm thử bảo mật ứng dụng web và cần một tài liệu phân loại sẵn về payload, kỹ thuật bypass để dùng trong lúc pentest, săn bug bounty, hay chơi CTF. Bỏ qua nếu bạn đang tìm một scanner tự động hay framework khai thác: đây là bộ sưu tập tĩnh gồm bài viết và danh sách payload, không phải công cụ tự chạy tấn công vào mục tiêu thay bạn.
Repo liên quan
PayloadsAllTheThings có đáng để bạn bỏ thời gian?
ChatGPT, Claude và Perplexity đều đọc được trang này. Hỏi thử xem họ nghĩ gì về PayloadsAllTheThings.