OWASP DecodeBox

Encoder. Décoder. Identifier. Décodage intelligent pour toutes les données.

État du projet

Pré-version, et déjà utilisable. L'atelier fonctionne, le moteur de détection déroule les charges utiles superposées, et le rapport d'analyse est complet.

Moteur : 504 opérations couvrant les formats de données, les chiffrements, la cryptographie à clé publique, le hachage, la compression, les réseaux, la forensique, le multimédia et les extracteurs. Chacune est couverte par un test aller-retour ou un test à réponse connue publié — 1 109 tests au total.
Interface : Trois modes — un espace de travail pour transformer, un rapport pour comprendre, et un mode CTF pour déterminer quoi essayer ensuite, déployé sur owasp.github.io/DecodeBox.

Reste à faire : l'audit d'accessibilité et la passe d'internationalisation. Un désassembleur et un moteur d'OCR sont délibérément hors périmètre — ce sont des projets à part entière, pas des opérations.

À propos du projet

Le modèle habituel pour un outil de ce type suppose que vous savez déjà ce que sont vos données : vous choisissez les opérations, vous les enchaînez, vous itérez. C'est parfait quand vous reconnaissez le format au premier coup d'œil, et inutile quand ce n'est pas le cas — ce qui est le cas la plupart du temps lorsqu'un analyste examine quelque chose de nouveau.

DecodeBox part de l'autre bout. Vous collez, et il détermine ce qu'il a entre les mains : chaque couche déroulée, chaque indicateur extrait, chaque constat de sécurité expliqué, avec la preuve de chaque affirmation visible plutôt qu'assénée.

Tout s'exécute dans votre navigateur. Aucune entrée, aucune recette et aucun fichier ne quitte jamais votre machine — il n'y a aucun serveur où l'envoyer.

Objectifs clés

Identifier : Nommer les données inconnues plutôt que d'exiger que l'utilisateur les nomme d'abord.
Expliquer : Montrer la mesure derrière chaque affirmation, afin qu'un score de confiance puisse être vérifié.
Analyser : Rapporter ce qu'une charge utile signifie — indicateurs et constats de sécurité à chaque profondeur — et pas seulement ce que disent ses octets.
Garantir : Maintenir le traitement entièrement côté client, et l'imposer dans le build plutôt que de le promettre dans un document.

Voir en action

Une charge utile réelle issue de la suite de tests : Base64 sur Base64 sur gzip sur JSON, avec un chargeur PowerShell dans un champ.

Findings   4        Indicators 7        Layers 8        257 ms

CRITICAL  Cloud or service credential            CWE-798
          Input → Base64 → Base64 → gzip
          AKIAIOSFODNN7EXAMPLE

CRITICAL  PowerShell download-and-execute        CWE-94
          Input → Base64 → Base64 → gzip → JSON → Base64 → UTF-16LE
          IEX (New-Object Net.WebClient).DownloadString

Le second résultat se trouve six couches plus bas, et le dernier saut provenait d'un blob Base64 à l'intérieur d'un champ JSON. Rien de ce qui fait un grep sur le blob d'origine ne le voit, et rien de ce qui déroule une chaîne linéaire unique ne l'atteint.

Fonctionnement

Détecter. Les interprétations candidates sont évaluées à partir de signaux indépendants — entropie de Shannon, jeu de caractères, règles de longueur, magic bytes, et le fait que le résultat décodé soit lui-même bien formé. Chaque signal porte une justification lisible par l'humain, et le dernier pèse le plus lourd : toute longue chaîne hexadécimale a la forme du Base64, mais une seule lecture se décode en quelque chose de cohérent.
Dérouler. Le meilleur candidat est décodé et la détection s'exécute à nouveau sur le résultat, construisant un arbre plutôt qu'une chaîne — y compris les régions encodées enfouies à l'intérieur des structures. La récursion est bornée en profondeur, en nombre de nœuds et en temps réel.
Terminer, et dire pourquoi. Une chaîne se termine sur du contenu, sur une valeur à sens unique nommée (Base64 → Base64 → MD5), sur un reste qui ne peut pas être décodé comme une signature JWT, ou sur l'aveu honnête qu'une limite a été atteinte et qu'il pourrait y avoir davantage en dessous.
Analyser. Les indicateurs et les constats de sécurité sont collectés depuis chaque nœud de l'arbre, chacun rapporté avec une référence CWE, les preuves et le chemin de décodage exact qui l'a révélé.

Lorsque rien de déclaré n'explique l'entrée, DecodeBox essaie toutes les clés XOR mono-octet et toutes les rotations et évalue chaque résultat selon sa lisibilité — avec un niveau de confiance qui indique clairement qu'il s'agissait d'une recherche plutôt que d'une correspondance.

Sécurité et confidentialité

DecodeBox traite par conception des entrées non fiables et délibérément malformées.

Aucun backend. Il n'y a rien à compromettre, rien à journaliser et rien à réquisitionner.
Aucun réseau, appliqué. La build embarque une Content Security Policy avec connect-src 'none' et script-src 'self' plus un hash pour l'unique script inline. Les polices sont intégrées plutôt que récupérées, et la build échoue si une référence à un CDN apparaît un jour dans la sortie.
Aucune évaluation dynamique. eval, new Function et tout chemin qui rend l'entrée sous forme de HTML sont interdits par les règles de lint, et non par convention.

style-src autorise bien 'unsafe-inline', car React écrit des attributs style inline ; script-src, où réside le vrai risque, reste strict. Pour signaler une vulnérabilité, voir SECURITY.md — veuillez ne pas ouvrir d'issue publique pour les rapports de sécurité.

Structure du dépôt

DecodeBox/
├── .github/workflows/   # CI, CodeQL, SBOM, markdown quality, Pages deployment
├── public/              # Bundled fonts, favicon, CNAME
├── src/
│   ├── engine/          # The analysis engine — the only half that knows about data
│   │   ├── index.ts     # THE SEAM — the only module the interface imports from
│   │   ├── operations/  # One self-contained module per transformation
│   │   ├── detection/   # Entropy, charset, magic bytes, structural validity
│   │   ├── analysis/    # Recursive exploration, indicators, security findings
│   │   ├── ctf/         # Flag search, cipher key recovery, ranked hints
│   │   ├── core/        # Recipe executor, byte handling, ciphers, codecs
│   │   └── worker/      # The engine off the main thread, past a size threshold
│   ├── components/      # The interface: workspace, report, CTF mode
│   ├── store/           # One zustand store
│   ├── hooks/           # Interaction logic shared across components
│   ├── lib/             # Share links, saved recipes, recipe text format
│   ├── i18n/            # Every user-facing string
│   └── styles/          # Design tokens and themes
├── SECURITY.md
└── LICENSE

DecodeBox

Populaires