CTFs (Capture The Flag) são competições de segurança onde participantes resolvem desafios práticos de hacking em ambientes controlados. São a forma mais eficiente de desenvolver habilidades técnicas reais em cibersegurança — e as ferramentas certas fazem diferença direta entre resolver um desafio em minutos ou ficar travado por horas.

Esta lista cobre as 10 ferramentas mais utilizadas em CTFs por categoria de desafio, com foco em uso prático e comandos essenciais para quem está começando ou quer melhorar sua performance em competições.

1. Nmap — Reconhecimento de rede

O Nmap é o ponto de partida de qualquer desafio de rede em CTF. Identifica portas abertas, serviços em execução e versões de software — informações essenciais para mapear a superfície de ataque.

nmap -sV -sC -p- --min-rate 5000 <IP_ALVO>

Flags essenciais: -sV detecta versões de serviço, -sC executa scripts padrão do NSE, -p- varre todas as 65535 portas. O parâmetro --min-rate 5000 acelera a varredura em ambientes de CTF onde velocidade importa.

2. Gobuster — Enumeração de diretórios web

Desafios web frequentemente escondem flags em diretórios ou arquivos não linkados. O Gobuster faz força bruta de caminhos usando wordlists.

gobuster dir -u http://<IP> -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,txt

A wordlist directory-list-2.3-medium.txt vem incluída no Kali Linux. A extensão -x adiciona sufixos às tentativas — essencial para encontrar arquivos de configuração e backups expostos.

3. Burp Suite Community — Interceptação e manipulação HTTP

Para desafios web que envolvem autenticação, injeção ou manipulação de parâmetros, o Burp Suite é indispensável. A versão Community é gratuita e suficiente para a maioria dos CTFs.

Fluxo básico: configurar o proxy no navegador (127.0.0.1:8080), interceptar a requisição de interesse, modificar parâmetros no Repeater e analisar a resposta. O Intruder permite automação de força bruta em campos de login.

4. John the Ripper — Quebra de hashes

Desafios de criptografia e forense frequentemente envolvem hashes de senhas. O John identifica automaticamente o formato do hash e aplica wordlists ou regras de mutação.

john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt
john --show hash.txt

A wordlist rockyou.txt contém 14 milhões de senhas reais vazadas e resolve a maioria dos desafios de CTF com hashes de senhas comuns. Para hashes específicos, use --format=<tipo>.

5. Hashcat — Quebra de hashes com GPU

Quando o John não é suficiente, o Hashcat usa a GPU para acelerar ataques de força bruta por ordens de magnitude. Suporta mais de 300 formatos de hash.

hashcat -m 0 -a 0 hash.txt /usr/share/wordlists/rockyou.txt

O modo -m 0 é MD5. Para identificar o tipo de hash antes de atacar, use o conjunto de ferramentas de análise ou o comando hash-identifier disponível no Kali.

6. Wireshark — Análise de tráfego de rede

Desafios de forense de rede entregam arquivos .pcap com tráfego capturado. O Wireshark permite inspecionar pacotes, filtrar protocolos e extrair dados transmitidos em texto claro.

Filtros essenciais para CTF:

  • http — isola tráfego HTTP
  • ftp-data — exibe dados transferidos via FTP
  • tcp contains "flag" — busca a string "flag" em payloads TCP
  • frame contains "plataformas de prática ofensiva{" — formato de flag do plataformas de prática ofensiva

7. Steghide e Stegsolve — Esteganografia

Desafios de esteganografia escondem flags dentro de imagens, áudios ou outros arquivos. O Steghide extrai dados ocultos de imagens JPEG e BMP.

steghide extract -sf imagem.jpg
steghide extract -sf imagem.jpg -p <senha>

O Stegsolve (ferramenta Java) analisa imagens bit a bit e aplica filtros de canal de cor — útil para flags escondidas em planos de bits específicos de imagens PNG.

8. SQLmap — Exploração automatizada de SQL Injection

Para desafios web com bancos de dados vulneráveis a injeção SQL, o SQLmap automatiza a detecção e exploração da vulnerabilidade.

sqlmap -u "http://<IP>/index.php?id=1" --dbs
sqlmap -u "http://<IP>/index.php?id=1" -D <banco> --tables
sqlmap -u "http://<IP>/index.php?id=1" -D <banco> -T <tabela> --dump

Fluxo: identificar banco de dados (--dbs), listar tabelas (--tables), extrair dados (--dump). Em CTFs, a flag geralmente está em uma tabela chamada flags, secret ou users.

9. pwntools — Exploração de binários (PWN)

Desafios de exploração de binários (PWN) exigem interação programática com processos. O pwntools é a biblioteca Python padrão para esse tipo de desafio.

from pwn import *

p = process('./binario')
# ou para remoto:
p = remote('<IP>', <PORTA>)

payload = b'A' * 64 + p64(endereco_retorno)
p.sendline(payload)
p.interactive()

Com o pwntools é possível construir payloads de buffer overflow, interagir com o processo e capturar a flag retornada pelo shell remoto.

10. CyberChef — Decodificação e análise de dados

O CyberChef é uma ferramenta web que resolve uma enorme variedade de desafios de criptografia e encoding sem necessidade de instalação. Disponível em gchq.github.io/CyberChef.

Operações mais usadas em CTF: Base64 decode, XOR com chave conhecida, ROT13, From Hex, From Binary, e a função "Magic" que tenta identificar e decodificar automaticamente dados codificados. Para desafios que envolvem múltiplas camadas de encoding, o CyberChef encadeia operações em sequência.

Comece a praticar com suporte técnico real

Ferramentas são o meio — a habilidade de saber quando e como usá-las é o que diferencia quem resolve desafios de quem apenas os tenta. A IBSEC forma profissionais com prática real em ambientes técnicos:

Ou comece pela Certificação IBSEC gratuita — em português, sem custo.