Disrobe

Disrobe एक स्टैटिक डीकंपाइलर, डीऑब्फस्केटर और अनपैकर है। यह संकलित सॉफ़्टवेयर से पैकिंग और ऑब्फस्केशन को एक-एक परत करके हटाता है और नीचे छिपे स्रोत कोड या मूल बाइट्स को पुनर्प्राप्त करता है।

disrobe auto को एक executable, एक ऐप पैकेज, एक स्क्रिप्ट, या एक फर्मवेयर इमेज दें। यह प्रत्येक परत (इंस्टॉलर, आर्काइव, पैकर, फ़्रीज़र, प्रोटेक्टर, ऑब्फस्केटर, बाइटकोड) को नाम देता है, मेल खाते रिकवरी पास के साथ उसे हटाता है, और जो उस पास ने उत्पन्न किया उस पर फिर से चलाता है जब तक कोई पास शेष को नहीं पहचानता। एक Rust बाइनरी Python, JavaScript और WebAssembly, Java और Android, .NET, native PE, ELF, और Mach-O कोड, Go, Lua, PHP, Ruby, Erlang और Elixir, ActionScript, शेल स्क्रिप्ट और Office मैक्रो, React Native और Flutter ऐप्स, इंस्टॉलर, और फर्मवेयर को कवर करती है। disrobe catalog उन 169 पैकर्स, प्रोटेक्टर्स, ऑब्फस्केटर्स, और बाइटकोड परिवारों को सूचीबद्ध करता है जिन्हें यह 15 इकोसिस्टम्स में पहचानता है।

इंजन अंतर्निहित हैं। Python बाइटकोड बिना Python इंस्टॉलेशन के डीकंपाइल होता है, JavaScript रिकवरी को Node.js की आवश्यकता नहीं होती, और Java, Android, और .NET डीकंपाइलर्स को किसी JVM या .NET SDK की आवश्यकता नहीं होती; jvm decompile और dotnet decompile किसी इंस्टॉल किए गए बाहरी डीकंपाइलर को केवल तब चलाते हैं जब --backend उसका नाम लेता है। Disrobe उस प्रोग्राम को लॉन्च नहीं करता जिसका वह विश्लेषण करता है, जब तक आप --allow-dynamic पास न करें, जो केवल PyArmor v6 और v7 पर लागू होता है। सुरक्षा मॉडल उन सीमित इंटरप्रेटर्स को सूचीबद्ध करता है जो किसी इनपुट से लिए गए कोड का मूल्यांकन करते हैं और उन होस्ट टूल्स को जिन्हें Disrobe शुरू करता है।

यह मैलवेयर विश्लेषकों, रिवर्स इंजीनियर्स, इंसिडेंट रिस्पॉन्डर्स, CTF खिलाड़ियों, और सुरक्षा शोधकर्ताओं के लिए बनाया गया है।

लाइसेंस: Disrobe Source-Available License 1.1। व्यक्तिगत शौक परियोजनाएँ और सीखना, अवैतनिक स्वतंत्र सुरक्षा अनुसंधान, गैर-लाभकारी शिक्षा और अनुसंधान, और पत्रकारिता निःशुल्क हैं, जैसा कि लाइसेंस उन्हें परिभाषित करता है। किसी कंपनी द्वारा या उसके लिए किसी भी उपयोग के लिए सशुल्क लाइसेंस आवश्यक है।

क्विक स्टार्ट · यह क्या पुनर्प्राप्त करता है · मापे गए परिणाम · यह कैसे काम करता है · सुरक्षा मॉडल · दस्तावेज़ीकरण

क्विक स्टार्ट

GitHub Releases से अपने प्लेटफ़ॉर्म के लिए आर्काइव डाउनलोड करें, इसे SHA256SUMS के विरुद्ध जाँचें, और disrobe (Windows पर disrobe.exe) को अपने PATH में रखें। फिर चलाएँ:

disrobe identify suspect.exe                # compiler, packer, and protector, with evidence
disrobe auto suspect.exe --out recovered/   # remove the layers Disrobe can recover
disrobe context --out recovered/            # what each pass recovered, and at what confidence

identify का रिकॉर्ड किया गया आउटपुट और अनपैकिंग चरण, इस रिपॉज़िटरी में कमिट किए गए UPX-पैक्ड Rust प्रोग्राम (corpus/native/packers/upx/hello.packed.nrv2b.exe) पर चलाया गया:

$ disrobe identify hello.packed.exe
format: pe64 (64-bit) subsystem=windows-cui
packer     UPX  (96%)  -> disrobe native unpack
             - [section UPX0] UPX characteristic section
             - [section UPX1] UPX characteristic section
             - [section UPX2] UPX characteristic section
             - [byte scan] UPX packer magic
...

$ disrobe native unpack hello.packed.exe --out recovered/hello.bin
native unpack: OK
  input:        hello.packed.exe
  packer:       upx
  status:       Implemented
  packed_size:  53248
  recovered:    116810 bytes
  wrote:        recovered/hello.bin

अनपैकिंग बेंचमार्क उसी फ़ाइल को पुनर्प्राप्त करता है और उसकी तुलना मूल बिल्ड से करता है: .text सेक्शन बाइट-दर-बाइट समान है, 73,160 बाइट्स जिनमें कोई अंतर नहीं है (अनपैकिंग माप)।

रिलीज़ आर्काइव Windows (x86-64, ARM64), macOS (x86-64, ARM64), और Linux (glibc के साथ x86-64 और ARM64, musl के साथ स्टैटिक x86-64) को कवर करते हैं। प्रत्येक आर्काइव में एक अलग cosign सिग्नेचर बंडल होता है, और SECURITY.md जाँच की व्याख्या करता है। स्रोत से बिल्ड करने के लिए rust-toolchain.toml में पिन किया गया Rust टूलचेन (1.96.1; न्यूनतम समर्थित संस्करण 1.95 है) और नेटिव निर्भरताओं के लिए एक C टूलचेन आवश्यक है:

git clone https://github.com/1-3-7/disrobe
cd disrobe
cargo build --locked --release -p disrobe-cli --bin disrobe

installation guide में feature flags और वैकल्पिक external backends शामिल हैं। प्लेटफ़ॉर्म के आधार पर 46 से 51 external tools की जाँच करने और यह देखने के लिए कि कौन से वैकल्पिक backends इंस्टॉल हैं, disrobe doctor चलाएँ।

यह क्या recover करता है

प्रत्येक पंक्ति उन formats के नाम बताती है जिन्हें Disrobe पढ़ता है और उस protection को जिसे यह हटाता है। जहाँ disrobe catalog किसी family को सूचीबद्ध करता है, वहाँ दिखाया गया level catalog का होता है। पहले नामित families recover की जाती हैं। Partial families को input जितना अनुमति देता है उतना peel किया जाता है, और परिणाम बताता है कि क्या बचा है। Detect only families की पहचान की जाती है, और परिणाम बताता है कि शेष को recover क्यों नहीं किया जा सकता, आमतौर पर इसलिए क्योंकि कोई key केवल run time पर मौजूद होती है। bold में दिया गया नाम वास्तविक tool के output पर grade किया जाता है, जो इस repository में commit किया गया है; अन्य नाम tests के लिए लिखे गए samples पर grade किए जाते हैं, या केवल detect किए जाते हैं। प्रत्येक ecosystem अपनी guide से लिंक करता है। Evidence column प्रत्येक पंक्ति को label करता है: real किसी ऐसे result या test से लिंक करता है जो वास्तविक compiler या tool के output को grade करता है, synthetic उन नामों को बताता है जो केवल tests के लिए बनाए गए inputs पर grade किए जाते हैं, और claimed उन नामों को बताता है जिन्हें कोई test exercise नहीं करता।