OWASP DecodeBox

Codifica. Decodifica. Identifica. Decodificación inteligente para cualquier dato.

Estado del proyecto

Preeslanzamiento, y ya utilizable. El banco de trabajo funciona, el motor de detección desenvuelve cargas útiles por capas y el informe de análisis está completo.

Motor: 504 operaciones entre formatos de datos, cifrados, criptografía de clave pública, hashing, compresión, redes, forense, multimedia y extractores. Todas están cubiertas por una prueba de ida y vuelta o una prueba de respuesta conocida publicada — 1.109 pruebas en total.
Interfaz: Tres modos — un espacio de trabajo para transformar, un informe para comprender y un modo CTF para averiguar qué probar a continuación, desplegado en owasp.github.io/DecodeBox.

Aún queda por delante: la auditoría de accesibilidad y la pasada de internacionalización. Un desensamblador y un motor de OCR quedan deliberadamente fuera del alcance — son proyectos propios, no operaciones.

Acerca del proyecto

El modelo habitual para una herramienta como esta asume que ya sabes qué son tus datos: eliges las operaciones, las encadenas, iteras. Eso está bien cuando reconoces el formato a simple vista, y es inútil cuando no lo haces — que es la mayoría de las veces que un analista se enfrenta a algo nuevo.

DecodeBox parte del otro extremo. Pegas el contenido y la herramienta averigua qué tiene entre manos: cada capa desenvuelta, cada indicador extraído, cada hallazgo de seguridad explicado, con la evidencia de cada afirmación visible en lugar de simplemente aseverada.

Todo se ejecuta en tu navegador. Ninguna entrada, ninguna receta y ningún archivo sale nunca de tu máquina — no hay ningún servidor al que enviarlo.

Objetivos clave

Identificar: Nombrar datos desconocidos en lugar de exigir que el usuario los nombre primero.
Explicar: Mostrar la medición que respalda cada afirmación, para que una puntuación de confianza pueda verificarse.
Analizar: Informar de lo que una carga útil significa — indicadores y hallazgos de seguridad en cada nivel de profundidad — no solo de lo que dicen sus bytes.
Garantizar: Mantener el procesamiento íntegramente en el lado del cliente, y hacerlo cumplir en la compilación en lugar de prometerlo en un documento.

Véalo en acción

Una carga útil real del conjunto de pruebas: Base64 sobre Base64 sobre gzip sobre JSON, con un cargador de PowerShell en uno de los campos.

Findings   4        Indicators 7        Layers 8        257 ms

CRITICAL  Cloud or service credential            CWE-798
          Input → Base64 → Base64 → gzip
          AKIAIOSFODNN7EXAMPLE

CRITICAL  PowerShell download-and-execute        CWE-94
          Input → Base64 → Base64 → gzip → JSON → Base64 → UTF-16LE
          IEX (New-Object Net.WebClient).DownloadString

El segundo hallazgo está seis capas más abajo, y el último salto provino de un blob Base64 dentro de un campo JSON. Nada que haga grep sobre el blob original lo ve, y nada que desenvuelva una única cadena lineal llega hasta él.

Cómo funciona

Detectar. Las interpretaciones candidatas se puntúan a partir de señales independientes — entropía de Shannon, conjunto de caracteres, reglas de longitud, magic bytes y si el resultado decodificado es a su vez bien formado. Cada señal lleva una justificación legible por humanos, y la última es la que más peso tiene: cualquier cadena hexadecimal larga tiene forma de Base64, pero solo una lectura decodifica a algo coherente.
Desenvolver. Se decodifica el mejor candidato y la detección se ejecuta de nuevo sobre el resultado, construyendo un árbol en lugar de una cadena — incluidas las regiones codificadas enterradas dentro de estructuras. La recursión está acotada en profundidad, número de nodos y tiempo de reloj.
Terminar, y decir por qué. Una cadena termina en contenido, en un valor unidireccional con nombre (Base64 → Base64 → MD5), en un remanente que no se puede decodificar como la firma de un JWT, o en una admisión honesta de que se alcanzó un límite y puede haber más debajo.
Escanear. Los indicadores y hallazgos de seguridad se recopilan de cada nodo del árbol, cada uno reportado con una referencia CWE, la evidencia y la ruta de decodificación exacta que lo reveló.

Cuando nada declarado explica la entrada, DecodeBox prueba todas las claves XOR de un solo byte y todas las rotaciones y puntúa cada resultado por legibilidad — con una confianza que dice claramente que fue una búsqueda y no una coincidencia.

Seguridad y privacidad

DecodeBox procesa entrada no confiable y deliberadamente malformada por diseño.

Sin backend. No hay nada que vulnerar, nada que registrar y nada que citar judicialmente.
Sin red, aplicado. La compilación incluye una Content Security Policy con connect-src 'none' y script-src 'self' más un hash para el único script inline. Las fuentes se incluyen en el paquete en lugar de descargarse, y la compilación falla si alguna vez aparece una referencia a un CDN en la salida.
Sin evaluación dinámica. eval, new Function y cualquier ruta que renderice la entrada como HTML están prohibidos por reglas de lint, no por convención.

style-src sí permite 'unsafe-inline', porque React escribe atributos style inline; script-src, donde reside el riesgo real, se mantiene estricto. Para reportar una vulnerabilidad, consulte SECURITY.md — por favor, no abra un issue público para reportes de seguridad.

Estructura del repositorio

DecodeBox/
├── .github/workflows/   # CI, CodeQL, SBOM, markdown quality, Pages deployment
├── public/              # Bundled fonts, favicon, CNAME
├── src/
│   ├── engine/          # The analysis engine — the only half that knows about data
│   │   ├── index.ts     # THE SEAM — the only module the interface imports from
│   │   ├── operations/  # One self-contained module per transformation
│   │   ├── detection/   # Entropy, charset, magic bytes, structural validity
│   │   ├── analysis/    # Recursive exploration, indicators, security findings
│   │   ├── ctf/         # Flag search, cipher key recovery, ranked hints
│   │   ├── core/        # Recipe executor, byte handling, ciphers, codecs
│   │   └── worker/      # The engine off the main thread, past a size threshold
│   ├── components/      # The interface: workspace, report, CTF mode
│   ├── store/           # One zustand store
│   ├── hooks/           # Interaction logic shared across components
│   ├── lib/             # Share links, saved recipes, recipe text format
│   ├── i18n/            # Every user-facing string
│   └── styles/          # Design tokens and themes
├── SECURITY.md
└── LICENSE

DecodeBox

Más Populares