注意：现在只对常读和星标的公众号才展示大图推送，建议大家把渗透安全HackTwo"设为星标⭐️"否则可能就看不到了啦！

右键一个请求  │  ├─ 步骤1  通过 Burp 重放该请求，拿到一个活响应。  │         这个响应就是后续一切对比的基线。重放与后面发载荷一样有 10 秒上限  │         （目标不响应就按「无响应」收尾，不会一直卡着）。  │  ├─ 步骤2  → 模型：请求（请求行 + 全部请求头、请求体前 10000 字符）与响应  │         （状态行 + 全部响应头、响应体前 10000 字符），外加可注入的参数名列表。  │         ← 模型：{analysis, paramVulnMap:[{param, vulnTypes[], reason}]}  │         这张表就是本次扫描的「范围」：空表直接以「安全」结束，一个包都不发。  │         每次扫描一次调用。  │  ├─ 步骤3  → 模型：与步骤2 完全相同的请求/响应数据、paramVulnMap，以及一行  │         从步骤1 响应猜出的后端指纹。  │         ← 模型：{testPayloads:[{type, payload, position, kind, wafBypass}]}，每组合 9 条。  │         `kind` 取 probe / attack / bypass —— 代码靠它认出「哪一条能当本组合的对照载荷」  │         （见「为什么载荷数是这个数」）。代码侧再过滤、去重、逐个校验注入点，然后才发。  │         每次扫描一次调用。  │  ├─ 步骤4  逐条注入发包，一次一条。  │  ├─ 步骤5  外带载荷不阻塞：挂到定时器上，6 秒后按它自己的随机前缀回查；  │         其余载荷当场验证。  │  └─ 步骤6  → 模型：载荷、实测耗时与基线耗时、回连带、本次测试请求、本次测试响应、基线响应，             以及**同一组合第 1 条载荷（探测载荷）的响应**（四段各前 10000 字符，围绕证据位置截取；             探测载荷的作用见「为什么载荷数是这个数」）。             ← 模型：{vulnerable, confidence, vulnType, level, description, tag}             结论已经确定的载荷**不花调用**：有回连记录的、Struts2 算术求值成立的、以及与基线             分不出差异的（见取舍 3）。其余每条载荷一次调用，所以 9 条载荷的扫描往往远少于 9 次。

The model picks which parameters are worth attacking and with what payloads; the payloads are really sent through Burp, and exploitability is decided from the evidence. Findings land in a task table and export to HTML / Markdown reports.