1-3-7/disrobeRust製CLIスイート。15以上のエコシステムにまたがるネイティブコード、バイトコード、スクリプト、ファームウェア、アプリパッケージを、単一の自動パイプラインで静的に逆コンパイル、難読化解除、アンパックします。
Disrobe は静的デコンパイラ、難読化解除ツール、アンパッカーです。 コンパイル済みソフトウェアからパッキングと難読化を一層ずつ剥がし、その下にあるソースコードまたは元のバイトを復元します。
disrobe auto に実行ファイル、アプリパッケージ、スクリプト、またはファームウェアイメージを渡してください。各レイヤー（インストーラー、アーカイブ、パッカー、フリーザー、プロテクター、難読化ツール、バイトコード）を識別し、対応する復元パスでそれを除去し、そのパスが生成したものに対して、どのパスも残ったものを認識しなくなるまで再び実行します。1 つの Rust バイナリが Python、JavaScript と WebAssembly、Java と Android、.NET、ネイティブ PE、ELF、Mach-O コード、Go、Lua、PHP、Ruby、Erlang と Elixir、ActionScript、シェルスクリプトと Office マクロ、React Native と Flutter アプリ、インストーラー、ファームウェアをカバーします。disrobe catalog は、15 のエコシステムにわたって認識する 169 のパッカー、プロテクター、難読化ツール、バイトコードファミリーを一覧表示します。
エンジンは組み込みです。Python バイトコードは Python のインストールなしでデコンパイルされ、JavaScript の復元には Node.js が不要で、Java、Android、.NET のデコンパイラには JVM や .NET SDK が不要です。jvm decompile と dotnet decompile は、--backend で指定された場合にのみ、インストール済みの外部デコンパイラを実行します。Disrobe は、--allow-dynamic を渡さない限り、解析対象のプログラムを起動しません。これは PyArmor v6 と v7 にのみ適用されます。安全性モデルには、入力から取得したコードを評価する境界付きインタプリタと、Disrobe が起動するホストツールが記載されています。
これはマルウェアアナリスト、リバースエンジニア、インシデントレスポンダー、CTF プレイヤー、セキュリティ研究者向けに作られています。
ライセンス: Disrobe Source-Available License 1.1。個人の趣味プロジェクトと学習、無報酬の独立したセキュリティ研究、非営利の教育と研究、およびジャーナリズムは、ライセンスが定義する範囲で無償です。企業による、または企業のための使用には、有償ライセンスが必要です。
クイックスタート · 復元できるもの · 測定結果 · 仕組み · 安全性モデル · ドキュメント
GitHub Releases からお使いのプラットフォーム用のアーカイブをダウンロードし、SHA256SUMS と照合して、disrobe（Windows では disrobe.exe）を PATH に配置します。そして次を実行します:
disrobe identify suspect.exe # compiler, packer, and protector, with evidence
disrobe auto suspect.exe --out recovered/ # remove the layers Disrobe can recover
disrobe context --out recovered/ # what each pass recovered, and at what confidence
identify の記録された出力と、このリポジトリにコミットされた UPX でパックされた Rust プログラム (corpus/native/packers/upx/hello.packed.nrv2b.exe) に対して実行したアンパック手順:
$ disrobe identify hello.packed.exe
format: pe64 (64-bit) subsystem=windows-cui
packer UPX (96%) -> disrobe native unpack
- [section UPX0] UPX characteristic section
- [section UPX1] UPX characteristic section
- [section UPX2] UPX characteristic section
- [byte scan] UPX packer magic
...
$ disrobe native unpack hello.packed.exe --out recovered/hello.bin
native unpack: OK
input: hello.packed.exe
packer: upx
status: Implemented
packed_size: 53248
recovered: 116810 bytes
wrote: recovered/hello.bin
アンパックベンチマークは同じファイルを復元し、元のビルドと比較します。.text セクションはバイト単位で同一で、73,160 バイト、差分はありません（unpacking measurements）。
リリースアーカイブは Windows（x86-64、ARM64）、macOS（x86-64、ARM64）、Linux（glibc 付き x86-64 および ARM64、musl 付き静的 x86-64）をカバーしています。各アーカイブには個別の cosign 署名バンドルがあり、SECURITY.md でチェック方法を説明しています。ソースからのビルドには、rust-toolchain.toml で固定された Rust ツールチェーン（1.96.1、サポートされる最小バージョンは 1.95）と、ネイティブ依存関係用の C ツールチェーンが必要です。
git clone https://github.com/1-3-7/disrobe
cd disrobe
cargo build --locked --release -p disrobe-cli --bin disrobe
インストールガイドでは、フィーチャーフラグとオプションの外部バックエンドについて説明しています。disrobe doctor を実行すると、プラットフォームに応じて46から51の外部ツールを調査し、どのオプションのバックエンドがインストールされているかを確認できます。
各行は、Disrobeが読み取るフォーマットと、それが除去する保護の名前を示しています。disrobe catalog がファミリーをリストする場合、表示されるレベルはカタログのものです。最初に名前が挙げられているファミリーは復元されます。Partial ファミリーは、入力が許す限り剥がされ、結果は残ったものを示します。Detect only ファミリーは識別され、結果は残りを復元できない理由を示します。通常は、キーが実行時にのみ存在するためです。太字の名前は、このリポジトリにコミットされている実際のツールの出力で評価されています。その他の名前は、テスト用に書かれたサンプルで評価されているか、検出のみが行われています。各エコシステムはそのガイドにリンクしています。Evidence列は各行にラベルを付けます。real は実際のコンパイラまたはツールの出力を評価する結果またはテストにリンクし、synthetic はテスト用に構築された入力のみで評価されるものを示し、claimed はどのテストでも検証されていないものを示します。