简介CTF工具包.zip 面向网络安全竞赛参赛者与渗透测试初学者聚焦抓包、分析与解密三大环节帮助解决备赛阶段工具零散、环境搭建繁琐的问题。压缩包共132个文件整体约84.72MB以89个txt说明文档、15个zip子工具包、11个png截图、6个exe可执行程序、4个jar包及少量rar、7z、py脚本为主涵盖抓包分析、编码转换、进制编辑、后台扫描、密码破解与逆向调试等常见用途。内容预览显示其中包含16进制编辑器、编码转换、御剑后台扫描、CTFcrack、Cknife等实用程序可配合Wireshark、Burp Suite、John the Ripper、HashCat、IDA Pro等工具完成流量分析、请求拦截、哈希破解与二进制逆向等典型赛题任务。目前已有2703人学习下载适合希望系统整理工具链、快速上手实战演练的CTF选手参考使用。1. 从「CTF工具包.zip」说起一个压缩包为什么能决定你能否入门很多人第一次打 CTF卡住的地方不是不会写脚本而是环境没搭好。下载了一个「CTF工具包.zip」解压出来一堆目录不知道先装哪个、哪个是必须的、哪个装了反而冲突。更常见的情况是比赛开始了别人三分钟跑出 flag你还在配 Python 环境、装 pwntools、调 Burp 证书。CTF 入门真正的门槛从来不是题目难度而是工具链的完整度和熟练度。这个标题背后要解决的问题很具体把散落在各处的 CTF 常用工具整理成一套能直接上手、按题型分类、随取随用的本地环境。它适合三类人刚接触 CTF 想系统搭建环境的新手、打杂项和密码学为主但逆向 Web 也想补一补的选手、以及需要给战队新人做统一环境分发的负责人。接下来我会按「工具包该装什么 → 怎么装 → 怎么按题型用 → 哪里容易翻车」的顺序把一套可复现的 CTF 工具链讲清楚。2. CTF工具包里到底该放什么按题型拆解工具选型2.1 先按六大题型分类别按工具名堆目录拿到一个工具包最容易犯的错是按「工具名」建目录tools/pwntools、tools/burp、tools/ida。这样建完打比赛时你根本不知道该去哪个目录找东西。正确的做法是按题型分Misc、Crypto、Web、Reverse、Pwn、Forensics。每个题型下面再放该题型高频使用的工具这样比赛时按题目类型直接进对应目录。我一般会这样组织ctf-kit/ ├── misc/ # 杂项编码、隐写、流量 ├── crypto/ # 密码学古典密码、RSA、格 ├── web/ # Web代理、扫描、payload ├── reverse/ # 逆向反汇编、调试 ├── pwn/ # 二进制利用调试、ROP ├── forensics/ # 取证磁盘、内存、日志 └── scripts/ # 自写通用脚本这个结构的好处是比赛时看到题目分类直接进对应目录不用回忆「那个工具叫什么名字」。对于 ctf杂项题目 和 ctf密码学 这两类高频题型目录里应该放的是「开箱即用」的脚本和命令而不是需要编译半小时的源码。2.2 每个题型的最小可用工具集不是工具越多越好。装太多工具会导致依赖冲突尤其是 Python 包版本。下面这张表是我实际用下来每个题型真正高频、缺了会难受的工具题型核心工具用途是否必装MiscPython3 Pillow zsteg图片隐写、编码转换必装MiscWireshark tshark流量分析必装CryptoSageMath格密码、椭圆曲线强烈建议Cryptopycryptodome gmpy2RSA、大数运算必装WebBurp Suite Community抓包改包必装Websqlmap dirsearch注入、目录扫描必装ReverseGhidra 或 IDA Free反汇编必装ReversePython capstone脚本化分析必装Pwnpwntools gdb pwndbg漏洞利用必装ForensicsVolatility3 foremost内存、文件恢复按需提示SageMath 在 Windows 上安装比较折腾常见做法是用 WSL 或者 Docker 跑一个 Sage 环境不要硬在 Windows 原生环境装。选型理由很简单CTF 比赛时间有限工具的第一要求是「能快速跑起来」第二才是「功能强大」。比如逆向Ghidra 免费且反编译质量够用没必要一上来就折腾 IDA Pro 的授权。Pwn 方向 pwntools 几乎是标配配合 pwndbg 调试效率会高很多。2.3 用 Docker 做环境隔离避免依赖打架工具包装在宿主机上最大的问题是不同工具依赖不同版本的 Python 或库装到最后pip install直接报冲突。我的做法是用 Docker 按题型分容器每个容器只装该题型的工具。# ctf-misc.Dockerfile FROM python:3.11-slim RUN apt-get update apt-get install -y \ binwalk foremost exiftool \ rm -rf /var/lib/apt/lists/* RUN pip install --no-cache-dir \ pillow pycryptodome gmpy2 zsteg WORKDIR /work构建和运行docker build -f ctf-misc.Dockerfile -t ctf-misc . docker run -it --rm -v $(pwd):/work ctf-misc bash逻辑说明基础镜像用python:3.11-slim控制体积binwalk、foremost、exiftool是杂项题里处理文件隐写和恢复的常用命令Python 包只装高频的不装全量。参数上-v $(pwd):/work把当前目录挂进容器这样容器里生成的脚本和结果文件在宿主机也能看到不用来回拷贝。这样做的好处是Misc 容器里 Python 包版本固定不会因为装了别的工具被升级Pwn 容器单独装 pwntools 和 gdb互不影响。坏处是镜像占磁盘但对现代开发机来说几个 GB 的镜像换环境稳定值。3. 从零搭一套能打的 CTF 环境命令、配置与验证3.1 Python 侧pwntools、pycryptodome、gmpy2 一次装对Python 是 CTF 里用得最多的语言但几个关键包的安装顺序和依赖有讲究。pwntools 依赖pwnlibpycryptodome 和旧的pycrypto不能共存gmpy2 需要系统级的 GMP 库。下面是我在 Ubuntu 22.04 上验证过的安装流程# 先装系统依赖gmpy2 编译需要 sudo apt-get update sudo apt-get install -y python3-pip python3-dev libgmp-dev libmpfr-dev libmpc-dev # 装 Python 包注意 pycryptodome 不要和 pycrypto 混装 pip3 install --upgrade pip pip3 install pwntools pycryptodome gmpy2 requests装完后验证# verify_env.py from pwn import * from Crypto.Util.number import long_to_bytes, bytes_to_long import gmpy2 # 验证 pwntools 能正常加载 context.log_level error print(pwntools ok:, p32(0xdeadbeef).hex()) # 验证 pycryptodome 大数转换 n 0x123456789abcdef print(pycryptodome ok:, long_to_bytes(n).hex()) # 验证 gmpy2 大数运算 print(gmpy2 ok:, gmpy2.is_prime(2**127 - 1))逻辑说明p32验证 pwntools 的打包功能正常这是 Pwn 题里最基础的操作long_to_bytes验证 Crypto 题里 RSA 解密后的整数转字节gmpy2.is_prime验证大数运算库可用格密码和 RSA 题里经常需要判断素数或做模逆。三个都打印出预期结果说明 Python 侧环境没问题。参数上context.log_level error是为了在验证脚本里不输出 pwntools 的冗余日志实际打题时通常设为debug方便看交互。2**127 - 1是梅森素数用来测试 gmpy2 的素数判断这个数在 Crypto 题里也常作为模数出现。3.2 Web 侧Burp 证书配置与 sqlmap 联动Web 题的第一步是能抓到 HTTPS 流量。Burp 默认只抓 HTTP要抓 HTTPS 必须导入 CA 证书。很多人卡在这里浏览器一直提示证书不受信任。步骤启动 Burp进入 Proxy → Options → Proxy Listeners确认监听127.0.0.1:8080。浏览器访问http://burp下载 CA 证书。Firefox设置 → 隐私与安全 → 证书 → 查看证书 → 导入勾选「信任由此 CA 标识的网站」。Chrome需要在系统证书里导入或者启动时加--ignore-certificate-errors仅测试用。配置好代理后用 sqlmap 联动 Burp 的抓包结果# 把 Burp 抓到的请求保存为 request.txt然后 sqlmap -r request.txt --batch --level3 --risk2 --dbs逻辑说明-r直接从文件读取 HTTP 请求省去手动填 URL、Cookie、POST 数据的麻烦--batch让 sqlmap 自动选择默认选项不交互--level3提高测试等级会测试更多注入点--risk2允许使用一些可能影响数据的 payload--dbs列出数据库名。参数上--level默认是 1只测 GET 和 POST 参数调到 3 会测 Cookie、User-Agent 等头部。--risk默认 1调到 2 会加入基于时间的盲注 payload。比赛里如果时间紧先用--level2 --risk1快速跑一遍没结果再调高。注意sqlmap 的--risk3会使用 OR 类型的 payload可能修改数据库内容比赛环境里慎用除非你确认题目允许。3.3 逆向与 PwnGhidra 无头模式 pwndbg 调试配置逆向题如果只靠 GUI 点效率很低。Ghidra 支持无头模式headless可以用脚本批量分析二进制。下面是一个用 Ghidra 无头模式导出函数列表的例子# 假设 Ghidra 安装在 /opt/ghidra /opt/ghidra/support/analyzeHeadless \ /tmp/ghidra_proj myproject \ -import ./challenge \ -postScript ExportFunctions.java \ -deleteProject逻辑说明analyzeHeadless是 Ghidra 的无头入口第一个参数是项目目录第二个是项目名-import指定要分析的二进制-postScript指定分析完成后执行的脚本-deleteProject分析完删除项目避免占磁盘。参数上ExportFunctions.java需要自己写或从 Ghidra 脚本库找作用是遍历所有函数并打印地址和名称。这个流程适合批量处理逆向题比如比赛里给了 10 个二进制先用无头模式跑一遍快速定位关键函数再针对性用 GUI 细看。Pwn 方向pwndbg 的安装和配置# 安装 pwndbg git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh # 在 ~/.gdbinit 里确认加载 echo source $(pwd)/gdbinit.py ~/.gdbinit验证gdb -q ./challenge # 进入 gdb 后输入 pwndbg checksec逻辑说明checksec是 pwndbg 提供的命令用来查看二进制的保护机制NX、PIE、Canary、RELRO。Pwn 题第一步就是看保护决定用哪种利用方式。如果checksec报错说明 pwndbg 没加载成功检查~/.gdbinit路径是否正确。参数上setup.sh会自动安装依赖并配置但如果你之前装过其他 GDB 插件比如 peda需要先清理~/.gdbinit否则会冲突。我一般会保留一个干净的~/.gdbinit只加载 pwndbg。4. 避坑与排查CTF工具包最常见的 5 个翻车现场4.1 现象pwntools 装完 import 报错No module named pwnlib原因pip 装到了 Python 2 的 site-packages或者系统里有多个 Python 版本pip和python3指向不同版本。解决用python3 -m pip install pwntools明确指定 Python 版本装完后用python3 -c import pwn验证。如果还报错检查which python3和which pip3是否在同一环境。4.2 现象Burp 抓不到 HTTPS浏览器提示证书错误原因CA 证书没有导入到浏览器的信任列表或者导入到了「服务器」标签而不是「颁发机构」标签。解决Firefox 里导入时一定要勾选「信任由此 CA 标识的网站」并且确认证书在「颁发机构」列表里。Chrome 在 Linux 下需要把证书导入系统证书库sudo cp burp.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates。4.3 现象Ghidra 无头模式报Java heap space错误原因Ghidra 默认 JVM 内存不够分析大二进制时溢出。解决编辑support/analyzeHeadless脚本找到MAXMEM变量从默认的1G调到4G或8G。或者设置环境变量MAXMEM4G再运行。4.4 现象pwndbg 加载后 gdb 启动极慢原因pwndbg 在启动时会加载大量符号和配置如果.gdbinit里还加载了其他插件会叠加延迟。解决清理~/.gdbinit只保留 pwndbg 的加载行。如果还是慢检查是否有网络请求比如自动更新可以在 pwndbg 配置里关闭自动更新。4.5 现象Docker 容器里跑 pwntools 连不上本地题目原因容器网络隔离localhost在容器里指向容器自身不是宿主机。解决用--network host让容器共享宿主机网络或者用host.docker.internalDocker Desktop作为宿主机地址。Linux 下更推荐--network host简单直接。5. 让工具包真正提速脚本化与赛前检查清单工具包装好只是第一步真正拉开差距的是「把重复操作脚本化」。我打 CTF 这几年最大的习惯改变是每道题做完如果发现某个操作重复了三次以上就把它写成脚本丢进scripts/目录。比如杂项题里经常要批量提取图片的 LSB 信息我就写了一个lsb_extract.py输入图片路径自动输出最低位平面。密码学题里经常要试常见的 RSA 攻击小公钥指数、共模攻击、Wiener 攻击我整理了一个rsa_attacks.py把参数填进去自动跑一遍。赛前检查清单也是血泪经验。有一次比赛开始后才发现 pwntools 没装现场装又遇到依赖冲突白白浪费二十分钟。现在我的习惯是赛前半小时跑一遍verify_env.py确认 pwntools、pycryptodome、gmpy2、sqlmap、Burp 代理、pwndbg 全部可用。检查清单不长但能避免「工具没准备好」这种低级翻车。最后一个具体技巧把常用命令做成 shell 别名。比如alias pwnpython3 -c from pwn import *; context.log_level\debug\或者alias listennc -lvnp。这些别名看起来小但比赛时能省下大量敲命令的时间。工具包的价值不在于装了多少工具而在于你多快能调用到正确的工具。希望帮到你。本文还有配套的精品资源点击获取