工具

为CTF玩家和渗透测试人员提供的免费在线安全工具。

仅在你拥有或明确获准测试的系统上使用。

Nmap 服务推荐器

粘贴 Nmap 输出，即可获取匹配的服务页面。识别开放端口并链接到相关攻击技术和服务文档。

粘贴 regex 过滤器和命令——获取能绕过的载荷。支持 Linux 和 Windows、黑名单和白名单过滤器，以及来自 Python、JavaScript、Go 等的 regex。

可视化构建 Hashcat 规则。逐步链式添加转换操作，对测试字典预览结果，并下载为 .rule 或 John the Ripper .conf 文件。

粘贴 Hashcat 规则并下载可直接使用的 John the Ripper 配置文件。使用 hashcat logic 模式包装规则，使 John 可以直接运行它们。

粘贴原始 WSDL XML，获取每个操作的可直接使用的 SOAP 信封和 curl 命令。自动提取端点、命名空间、参数和 SOAPAction 头。

使用 APP_KEY 解码并验证 Laravel 的 AES 加密 cookie。可查看会话载荷、校验 HMAC 签名，并伪造新的有效签名 cookie。

无需密钥解码 Flask itsdangerous 会话 Cookie 以读取 JSON 载荷。使用 SECRET_KEY 验证 HMAC-SHA1/SHA512 签名，并为 CTF 网络挑战中的会话操纵伪造新的有效签名 Cookie。

这些工具专为 CTF（夺旗赛）竞赛和授权渗透测试而构建。完全在服务端运行——不存储或执行任何输入。每个工具都旨在节省渗透测试过程中重复分析任务的时间。

Nmap 服务推荐器

从原始 Nmap 输出中解析 PORT/STATE/SERVICE/VERSION 表，并将每个开放端口与相关服务页面匹配——包括攻击技术、枚举方法和漏洞利用资源。

命令注入绕过生成器

生成混淆的命令注入载荷——base64、十六进制、xxd、ANSI-C 引用、IFS 技巧、变量拼接、通配符、脱字符混淆、PowerShell 编码——并根据你的 regex 过滤，只显示有效的绕过方式。

Hashcat 转 John 规则转换器

使用 hashcat logic ON/OFF 指令将 Hashcat 规则包装到 John the Ripper 配置文件中。粘贴规则，选择规则集名称，预览输出，并下载可直接用于 --config 和 --rules 参数的 .conf 文件。

SOAP WSDL 动作生成器

解析原始 WSDL XML 以提取每个操作、其参数和 SOAPAction 头，然后生成完整的 SOAP 信封和可直接运行的 curl 命令。在 CTF 挑战或授权渗透测试中攻击 SOAP Web 服务时非常有用。

Laravel Cookie 伪造与解码器

使用 APP_KEY 解密 Laravel 的 AES 加密 cookie，校验 HMAC-SHA256 签名并显示会话载荷；也可伪造新的有效签名 cookie，适用于 CTF Web 题目中的会话劫持与权限提升。

Flask Cookie 伪造与解码器

解码 Flask itsdangerous 会话 Cookie 以在不需要密钥的情况下显示 JSON 载荷。使用 SECRET_KEY 验证 HMAC-SHA1 或 HMAC-SHA512 签名并伪造新的有效签名 Cookie——是 CTF Flask 挑战中会话操纵的必备工具。