CTF比赛里最烦人的所使用事情是什么？不是脑洞不够，是需工环境没配好。你逆向到一半发现缺个插件，具线密码学算到关键处发现没装库，所使用Web题刚有点思路却发现Burp Suite要破解。需工这时候在线工具就是具线救命稻草。

先说说最常用的所使用CyberChef。这个英国GCHQ开源的需工“瑞士军刀”几乎是万能的。从hex转ASCII到AES解密，具线从URL编码到RSA参数解析，所使用拖拽就能完成。需工我见过不少新手在本地装各种转换脚本，具线其实CyberChef一个就顶十个。所使用它的需工“Magic”功能甚至能自动识别编码格式，再复杂的具线混淆数据丢进去，点一下就能看到明文。

密码学题目别急着写脚本。在线RSA计算器（比如dcode.fr的RSA工具）能直接输入n、e、c，一键分解质因数、算私钥、解出明文。遇到离散对数或椭圆曲线问题，Alpertron的在线计算器能处理大整数运算，比你在终端里反复调试Python代码快得多。记得有次做一道ECC题，我本地用sage装了半小时没成功，换在线版SageMathCell，粘贴代码直接出结果。别跟环境较劲，出题人考的又不是你装软件的能力。

Web题里最实用的在线工具是Webhook.site和RequestBin。它们能生成一个临时URL，帮你接收各种回调请求。遇到SSRF或者XSS盲打，把payload指向这个URL，就能在浏览器里看到目标服务器发来的请求头、IP、Cookie，甚至内网探测结果。另一个是在线正则表达式测试工具regex101，调试WAF绕过规则时特别方便——左边写payload，右边实时匹配，比反复刷新页面高效。

逆向工程也有在线帮手。比如dogbolt.org，它聚合了Hex-Rays、Ghidra、angr等多个反编译器，你上传一个二进制文件，它同时用六种引擎帮你反编译成C代码。虽然结果不一定完全准确，但对比着看能快速定位关键函数。还有crackmes.one上的在线汇编模拟器，跑单条指令看寄存器变化，比用gdb一步步断点省事多了。

Misc类题目经常给一些奇奇怪怪的编码。这时候用在线工具decode.fr全家桶：Brainfuck解释器、Ook!解码、Base65536转换、培根密码解密，基本覆盖了所有冷门编码。图片隐写题如果只是LSB隐写，可以用StegOnline在线查看每一层的位平面，不用下载Stegsolve了。

最后提一个容易被忽略的：在线时间戳转换。很多题目会把flag藏在文件的时间属性里，或者用时间戳做种子生成随机数。用tool.lu/timestamp这类网站快速转换毫秒级时间戳，比在命令行里敲date -d @数字快得多。

工具终究是辅助，核心还是思路。但比赛时间就那几个小时，能省一分钟就多一分胜算。收藏夹里备好这些网站，总比现场装依赖强。