SecTools 資安工具箱：61 個免費工具，直接在瀏覽器完成分析

平常在處理資安事件、分析 Log 或解 CTF 題目時，經常需要用到各種線上工具，例如 Hash 計算、JWT 解碼、IOC 擷取、封包分析等。這些工具雖然方便，但通常分散在不同網站，而且不一定清楚輸入的資料會不會被傳送到遠端伺服器。我做了一個 SecTools 資安工具箱，把常用的資安分析工具整合在同一個網站，並盡可能讓所有運算都在使用者自己的瀏覽器中完成。

🔗 工具網站： https://tools.sectools.tw/
💻 GitHub： https://github.com/stwater20/sectools

61 個工具，涵蓋日常資安分析需求

目前 SecTools 收錄了 61 個工具，分成六大類，包含：

• 編碼與雜湊（8 個）： SHA 系列雜湊、Base64／Base32／Base58 等編解碼、HMAC、URL 編解碼及壓縮解壓縮。
• 密碼與驗證（5 個）： JWT 解碼與簽章驗證、密碼產生與強度檢查、TOTP／HOTP 驗證碼。
• 威脅分析（6 個）： IOC 擷取、Email Header 分析、敏感資訊掃描、可疑 URL 分析及資料熵值計算。
• 網路與風險（10 個）： IPv4／IPv6 CIDR 計算、CVSS v3.1 評分、HTTP Security Headers、CSP 政策分析及 DNS 封包解碼。
• 鑑識與分析（12 個）： Hex Viewer、檔案簽章辨識、PCAP 摘要分析、時間戳轉換、EXIF 資訊檢視、隱寫分析及 Python Pickle 安全分析。
• CTF 工具（20 個）： RSA 求解、古典密碼破解、XOR 分析、多層編碼解碼、AES／DES／RC4、PHP 反序列化分析及 Path Traversal 分析。

除了基本的編解碼工具，也加入了一些比較貼近實際資安工作與 CTF 解題需求的功能。

例如，IOC 擷取器可以從一大段威脅情資報告或 Log 中，自動整理出 IP、網域、URL、Email 和 Hash；Email Header 分析器則可以協助檢查郵件傳遞路徑，以及 SPF、DKIM、DMARC 的驗證結果。

在鑑識方面，可以直接檢視檔案的 Hex 內容、辨識 Magic Bytes、解析 PCAP 封包摘要，或分析圖片中可能隱藏的資料。

CTF 部分則提供 RSA 自動求解、多層編碼解碼、Recipe 串接等功能，減少反覆撰寫簡單腳本或切換網站的時間。

為什麼特別強調在瀏覽器本機運算？

這是開發 SecTools 時最重視的設計原則。

實際分析資安事件時，處理的資料可能包含內部 IP、客戶郵件標頭、Access Token、尚未公開的漏洞資訊，甚至是包含敏感內容的檔案。

如果只是為了解碼或分析，就把這些資料上傳至不熟悉的第三方網站，其實會增加不必要的資訊外洩風險。

因此，SecTools 的分析功能採用 Client-side Processing（客戶端運算），盡量使用瀏覽器原生 API 完成處理，例如透過 Web Crypto 進行雜湊與密碼學運算，或在本機讀取檔案進行分析，而不是將輸入資料送到後端 API。

工具不需要登入，也不使用廣告或 Cookie 追蹤。對資料處理方式有疑慮的話，也可以透過瀏覽器的開發者工具檢查網路請求，或直接查看公開原始碼。

其他使用上的設計

除了工具本身，也加入了一些方便日常使用的小功能：

• 按下 / 或 Ctrl + K，即可快速搜尋工具。
• 可以收藏常用工具，並查看最近使用紀錄。
• 已載入的工具頁面在斷網後，仍可繼續執行本機運算。
• 支援手機版、深色模式與英文介面。
• 原始碼公開，可自行檢查或部署至內部環境。

結語

SecTools 的目的很簡單，就是希望把資安工作中經常需要的小工具集中起來，省去到處搜尋、切換網站或臨時撰寫腳本的時間，同時降低把敏感資料交給第三方服務處理的風險。

目前已經整理出 61 個工具，未來也會持續增加實用功能，並改善既有工具的分析能力。

所有工具皆可免費使用。如果有遇到問題、發現 Bug，或有希望加入的功能，也歡迎到 GitHub 提出 Issue。

SecTools 資安工具箱
🌐 https://tools.sectools.tw/
💻 https://github.com/stwater20/sectools

工具分析結果僅供輔助參考，正式資安調查與判讀仍應搭配其他工具及驗證程序。