CTF和渗透测试中可用命令直接安装的工具

---

引言

在 CTF 比赛和日常的渗透测试中，拥有合适的工具能够极大地提高工作效率和成功率。然而，并不是所有的工具都会在 GitHub 上发布正式的 Release 版本。许多优秀的工具已经被集成到 pip 等包管理器中，用户可以通过简单的命令直接安装，无需复杂的配置过程。这种安装方式不仅快速便捷，还可以确保你始终使用到最新版本的工具。

➤ 换源教程可参考我的文章：各种环境换源教程

---

GitHacker

介绍

GitHacker 是一款专门用于从 .git 泄露中恢复敏感信息的工具。

安装命令

可以使用 pip 直接安装 GitHacker：

pip install gitHacker

用法示例

githacker --url http://example.com/.git/ --output-folder ./out

---

Arjun

介绍

Arjun 是一款非常高效的 HTTP 参数发现工具，能够自动探测隐藏在 URL 中的参数，适用于发现诸如注入点、参数旁注等潜在漏洞。

安装命令

使用以下命令即可安装 Arjun：

pip install arjun

用法示例

arjun -u http://example.com

Arjun 将自动扫描 URL 并输出可能存在的参数名，便于进一步测试。

---

Fenjing

介绍

Fenjing （焚靖）是一个针对CTF比赛中Jinja SSTI绕过WAF的全自动脚本工具，可以自动攻击给定的网站或接口，省去手动测试接口，fuzz题目WAF的时间。

安装命令

Fenjing 也可以通过 pip 轻松安装：

pip install Fenjing

用法示例

fenjing -u http://example.com

---

typhon

介绍

号称最好的 CTF pyjail 沙箱逃逸自动化解题工具。

帮助文档：https://typhon.lamentxu.top/zh-cn/latest/

安装命令

通过 pip 轻松安装：

pip install typhonbreaker

zsteg

介绍

zsteg 是一款针对 PNG 和 BMP 图片文件的隐写分析工具，特别适合用来检测图片中的隐藏信息。它支持多种隐写分析技术，能够有效提取图像文件中的隐藏数据，在 CTF 中的隐写题目里非常实用。

安装命令

zsteg 使用 gem 安装，因为它是基于 Ruby 的工具：

gem install zsteg

提示：安装 gem 时需要确保你的系统已安装 Ruby 环境，Kali Linux 通常已自带 Ruby。

用法示例

zsteg -a secret.png | grep flag

zsteg 将自动分析图片文件，并输出检测到的隐写信息，为你揭示图片背后的秘密。

【更新】这个仓库有编译好的二进制文件：
https://github.com/jiayuqi7813/zsteg-rust

reverse-sourcemap

reverse-sourcemap 是一个命令行工具，可以将 .js.map 文件转为源码，并基于反编译后的文件进行修改。

在渗透测试时，发现.js.map文件泄露后可使用该工具反编译，运行后建议首先看 api 及 router 目录。

.js.map 文件是 JavaScript 文件的源映射文件，它提供了一种映射关系，将压缩、混淆或转换后的 JavaScript 代码映射回原始的、易于阅读和调试的源代码。

安装命令

通过 npm全局安装 reverse-sourcemap：

npm i -g reverse-sourcemap

用法示例

• 单个 sourceMap 文件反编译

使用以下命令将单个 .js.map 文件反编译到指定目录：

reverse-sourcemap -o aaa -v app.9fbea7c7.js.map

该命令将 app.9fbea7c7.js.map 文件反编译到 aaa 目录下。

• 批量 sourceMap 反编译

如果需要批量处理 .js.map 文件，可以使用以下命令：

reverse-sourcemap -o origin -v ./static/js

该命令会递归查找 ./static/js 目录下的所有 .js.map 文件，并将它们反编译到 origin 目录下。

报错解决

windows下文件使用相对路径 .\Downloads\chunk-vendors.cc4fec4f.js.map

其他

pip install z0scan
https://github.com/JiuZero/z0scan