commix：命令与代码注入渗透测试工具
开源渗透测试 CLI，自动化检测并利用命令/代码注入漏洞，支持多种注入技术、带外信道、WAF 绕过与批量扫描。
commix（command injection exploiter）是一款开源渗透测试工具，自动化检测和利用命令注入及代码注入漏洞，主要作为独立 CLI 使用，并会在目标上执行系统命令，README 提醒仅应对自己拥有或获授权的系统使用。它提供基于结果、布尔、时间和文件四种注入技术，支持 --oob 带外信道（经 HTTP/S 或 DNS 回传，可自建服务器），可用 --eval 测试 PHP、Python、Ruby、JavaScript、PowerShell、Perl、Lua 等语言的代码注入。输入点覆盖 GET/POST 参数、HTTP 头、Cookie、JSON/XML/GraphQL 请求体及 CGI 的 shellshock 模块；从验证到获取 shell，提供 os-shell、reverse_tcp/bind_tcp、文件传输、Windows 注册表读写与口令哈希枚举。还支持 tamper 脚本绕过过滤与 WAF，目标可以是 URL、爬取结果、HTML 表单、sitemap、OpenAPI 描述、代理日志、批量文件、原始 HTTP 请求或 stdin；具备会话恢复、JSON/CSV/HAR 输出、选项配置文件、--proof 复验和 REST API。需要 Python 3.7 及以上，其余依赖已内置。