CTF-WEB-TOOLS

一个面向 CTF Web 题目的本地分析控制台，使用 PHP + Python 组合实现，提供批量目标抓取、页面线索提取、附件文本抽取、候选 Flag 汇总、AI 二次分析、WriteUp 生成和历史记录保存等能力。

工具交流群:1097842927

下载地址::https://github.com/ChenFu0604/CTF-WEB-TOOLS

喜欢的点点star噢！

功能概览

批量输入一个或多个目标 URL
支持补充题目描述、HTTP 片段、Hint、JWT、Cookie、自定义请求头
支持上传题目附件并自动抽取可读文本
自动抓取页面并提取以下信息
- 页面标题、文本、注释、表单、输入项、外链 JS
- JS 中的 API 路径和可疑前端变量
- 常见敏感路径探测结果，如 /.git/HEAD、/admin、/debug
- 参数名、报错关键字、技术栈指纹
自动识别 Flag 与可疑 Flag 片段
自动生成本地 Agent 报告
可选调用大模型生成二次分析报告
可基于当前上下文生成 Markdown WriteUp
保存分析历史、聊天记录和 WriteUp
内置若干常用小工具
- 编解码
- Hash/HMAC
- JWT 解析
- Caesar 爆破
- JSON / HTTP 格式化
- Base64 / URL / Flag / 正则提取

技术栈

前端：原生 HTML + CSS + JavaScript
后端：PHP
分析 Agent：Python 3
AI 接口：兼容 OpenAI Chat Completions 风格的 HTTP API

目录结构

CTF-WEB-TOOLS/
├─ agent/          # Python 分析逻辑
├─ api/            # PHP API 接口
├─ assets/         # 前端样式资源
├─ data/history/   # 历史分析记录
├─ inc/            # 公共模块（AI、附件处理、存储）
├─ config.php      # AI 配置
├─ index.php       # 控制台入口
└─ README.md

运行要求

PHP 8.0 及以上
Python 3.10 及以上
推荐本地运行
若需 AI 功能，需要可访问的模型接口和有效 API Key

快速开始

1. 进入项目目录

cd "CTF-WEB-TOOLS"

2. 启动 PHP 内置服务

php -S 127.0.0.1:8000

如果本机装有多个 PHP 版本，请先确认 php 可执行文件已加入环境变量。

3. 打开浏览器

访问：

http://127.0.0.1:8000

基本使用流程

在首页输入单个 URL 或多个 URL
按需填写补充线索、Cookie、自定义请求头
如有题目附件，先上传附件
点击开始分析
查看Flag、可疑片段、API/JS/敏感路径结果和主报告
如已配置 AI，可勾选 AI 二次分析
需要结果时，生成 WriteUp 并导出 .md

配置说明

配置文件位于：

config.php

默认内容如下：

<?php
return [
    'enabled' => true,
    'base_url' => '',
    'api_key' => 'sk-',
    'model' => '',
    'temperature' => 0.2,
    'timeout' => 90,
    'max_tokens' => 900,
    'max_history' => 12,
];

字段说明：

enabled：是否启用 AI 功能
base_url：模型接口地址，通常是 /v1/chat/completions
api_key：接口密钥
model：模型名
temperature：生成温度
timeout：请求超时秒数
max_tokens：最大输出长度
max_history：前端聊天历史上限

如果不需要 AI 功能，可以这样配置：

<?php
return [
    'enabled' => false,
    'base_url' => '',
    'api_key' => '',
    'model' => '',
    'temperature' => 0.2,
    'timeout' => 90,
    'max_tokens' => 900,
    'max_history' => 12,
];

工作原理

页面分析链路

前端发起请求到：

api/agent.php

该接口会调用：

Python Agent 负责：

拉取页面内容
提取标题、注释、链接、表单、输入框、脚本
抓取外链 JS
探测常见敏感路径
识别 URL、参数、JWT、Base64、Hex、JSON、错误信息、框架指纹
汇总候选 Flag 和人工验证建议

附件分析链路

上传接口：

api/upload.php

处理模块：

inc/artifact.php

主要能力：

读取文本类文件
自动尝试 UTF-8 / GBK / GB2312 / BIG5 / ISO-8859-1 解码
对二进制文件提取可打印字符串
汇总文件预览、候选 Flag 和可疑片段

AI 与 WriteUp

历史记录

历史数据默认保存在：

data/history

内置工具接口

工具接口文件：

api/tool.php

当前支持：

codec
- base64-encode
- base64-decode
- hex-encode
- hex-decode
- url-encode
- url-decode
- rot13
- binary-decode
hash
- md5
- sha1
- sha256
- sha512
- hmac-sha256
jwt
caesar
format
- json-pretty
- json-minify
- http-parse
extract
- base64
- flags
- urls
- regex