上周帮一个学弟看一道Web题，工具他卡在JWT伪造上整整两天。工具我让他把token丢进jwt.io，工具三秒钟就看到payload里明晃晃写着"admin": false。工具他愣了半天，工具说不知道有这么个网站。工具这事挺典型——CTF打到最后，工具拼的工具不是谁更聪明，是工具谁手里工具更顺手。

在线工具在CTF里的工具地位有点尴尬。老手觉得用网站解题不够硬核，工具新手又经常不知道该用哪个。工具我的工具看法是：能快速定位问题就是好工具，管它在本地还是工具浏览器里跑。

编解码类：别再用Python手写了

CyberChef是工具我目前用得最多的一个。它把Base64、Hex、URL编码、AES、RSA、凯撒密码这些操作做成了可视化拖拽。你拖一个From Base64再拖一个XOR，中间加个Regular expression过滤，整条数据流一目了然。去年某次比赛有道多层编码题，别人写脚本调了半小时，我在CyberChef里拖了六个模块，两分钟出flag。

它的Magic功能值得单独说。你把一段乱七八糟的字符串粘进去，它会自动尝试几十种解码组合，按可能性排序。当然不是每次都准，但作为第一轮筛查非常省事。

轻量一点的场景，直接用CyberChef的Recipe功能保存常用操作链就行。我存了一套“Base64→反转→ROT13”的组合，遇到签到题直接套。

Web安全：浏览器里就能打的靶场

JWT相关的题，jwt.io是标配。左边贴token，右边直接看header和payload，还能在线验证签名。有个坑要注意：它默认用HS256验证，如果题目是RS256且公钥泄露，你得手动改成用公钥当HMAC密钥来伪造——这个操作jwt.io做不了，得配合Python的PyJWT。

SQL注入测试，sqlmap有在线版，但我不推荐。原因很简单：在线版功能阉割严重，而且把目标URL提交到第三方服务器本身就有风险。本地跑sqlmap，或者用Burp Suite的Intruder模块手动测，更可控。

XSS的话，Google XSS Game那个老靶场虽然界面复古，但六个关卡把反射型、存储型、DOM型都覆盖了。我去年带新人，让他们先通这个再打CTF，效果比直接扔题好。

逆向与取证：在线工具的天花板

说实话，逆向题用在线工具不太现实。IDA Pro、Ghidra这些必须本地跑。但有个例外：Dogbolt。它把Hex-Rays、Ghidra、Binary Ninja等六七个反编译器的结果并列展示，同一段汇编，不同反编译器给出的伪代码差异很大。有时候Ghidra抽风的地方，Hex-Rays反而清晰。这网站适合快速对比，但别指望它替代完整逆向环境。

取证类里，Aperisolve值得记一下。图片隐写题丢进去，它自动跑zsteg、steghide、binwalk、exiftool，把结果汇总在一个页面。省得你一个个命令敲。不过它处理大文件会超时，超过10MB的图还是本地跑脚本吧。

一个真实案例

上个月某CTF有道Misc题，给了一个流量包。我用Wireshark本地分析，过滤HTTP流的时候发现一个POST请求里有个奇怪的参数data=，值是一长串Base64。丢进CyberChef，先From Base64，得到一堆乱码；再加个XOR，密钥试了key、flag、secret都不对；最后用Magic功能，它自动识别出是AES-ECB，密钥藏在另一个TCP流的注释里。整个过程不到十分钟。如果纯手写脚本，光试错就得半小时。

工具不能替你思考，但能把你从重复劳动里捞出来。CTF比的是谁先看到本质，不是谁敲键盘更快。

最后提一句：别在比赛时把flag提交到在线工具里。有些网站会记录输入内容，之前真有队伍因为把flag粘进某个“在线解密”网站被判定作弊。本地跑一遍，确认没网传再提交。