刚打完一场CTF线上赛，具包队里新人问我：为什么你电脑里装了三四个虚拟机，合集浏览器书签栏塞满奇怪域名？具包答案很简单——工具用对了，解题速度能快一倍。合集CTF不是具包纯靠脑洞，工具包才是合集真正的生产力。

Web方向：浏览器插件比命令行更顺手

很多人一上来就装Burp Suite，具包其实新手先配好浏览器插件更实际。合集HackBar收费后，具包我转用HackTools，合集快捷键呼出编码解码、具包JWT解析、合集XSS payload库，具包省去切窗口的合集麻烦。Cookie Editor改Cookie比在Burp里抓包改包快得多，具包尤其是做Session伪造题。

Burp Suite社区版够用，但Intruder限速烦人。我通常只开Proxy和Repeater，配合Turbo Intruder插件跑爆破。有个细节：记得把Burp的CA证书导入系统信任区，否则HTTPS站点全是报错。别问我怎么知道的。

Reverse与Pwn：IDA和Ghidra各留一手

IDA Freeware 7.7够看大部分CrackMe，但遇到ARM架构的IoT题，Ghidra的反编译器更舒服。我习惯两个都装——IDA看伪代码快，Ghidra补丁和脚本方便。Pwntools是Pwn题标配，pwntools的cyclic生成溢出偏移，比手动算快十倍。

调试器方面，gdb配pwndbg插件，堆题看chunk结构一目了然。Windows平台用x64dbg，配合ScyllaHide反反调试。有个坑：pwndbg和gef别同时装，会冲突。

Crypto与Misc：Python脚本就是最好的工具

别迷信那些“一键解密”工具。Crypto题核心是数学，PyCryptodome和gmpy2两个库解决90%的RSA和椭圆曲线题。RSA共模攻击、低加密指数攻击，网上脚本一搜就有，但得看懂再改参数。

Misc题最杂。Stegsolve看LSB隐写，Audacity看频谱图，010 Editor改文件头。最近遇到一道题把flag藏在PNG的IDAT块里，用pngcheck发现CRC错误，手动修复后图片才显示完整。这类题工具只是辅助，关键还是文件格式的理解。

取证与杂项：别忽略系统自带命令

流量分析用Wireshark，但过滤语法得熟。http.request.method == "POST"比肉眼翻包快得多。内存取证用Volatility 3，不过Windows内存镜像先跑windows.info确认版本，不然插件全报错。

Linux自带的strings、grep、file命令，比很多花哨工具管用。有次比赛一道隐写题，binwalk -e直接分离出压缩包，队友还在那试密码。

工具包怎么整理

我见过有人把工具全塞一个文件夹，找的时候靠Everything搜索。更合理的做法是按方向分目录，每个目录放一个README.md记录安装命令和常用参数。GitHub上有个CTF-Tools仓库，但更新慢，不如自己维护。

虚拟机快照是保命手段。做Pwn题前拍个快照，跑exploit把系统搞崩了直接回滚。Docker也行，但CTF比赛环境经常要装奇奇怪怪的依赖，虚拟机更灵活。

最后说个反直觉的：工具越多越容易分心。我见过新人装了二十个插件，结果比赛时不知道该点哪个。选三五个顺手的，把快捷键练成肌肉记忆，比收集工具重要得多。工具包是剑，剑法得自己练。