1-3-7/disrobeRust CLI 제품군으로, 하나의 자동 파이프라인을 통해 15개 이상의 생태계에 걸쳐 네이티브 코드, 바이트코드, 스크립트, 펌웨어 및 앱 패키지를 정적으로 디컴파일, 난독화 해제 및 언팩합니다.
Disrobe는 정적 디컴파일러, 디오브푸스케이터, 언패커입니다. 컴파일된 소프트웨어에서 패킹과 난독화를 한 계층씩 벗겨내고 그 아래에 있는 소스 코드나 원본 바이트를 복구합니다.
disrobe auto에 실행 파일, 앱 패키지, 스크립트 또는 펌웨어 이미지를 넘겨주세요. 각 계층(설치 프로그램, 아카이브, 패커, 프리저, 프로텍터, 난독화기, 바이트코드)의 이름을 식별하고, 그에 맞는 복구 패스를 통해 제거한 뒤, 남은 것이 어떤 패스에도 인식되지 않을 때까지 그 패스가 생성한 결과물에 대해 다시 실행합니다. 하나의 Rust 바이너리가 Python, JavaScript 및 WebAssembly, Java 및 Android, .NET, 네이티브 PE, ELF, Mach-O 코드, Go, Lua, PHP, Ruby, Erlang 및 Elixir, ActionScript, 셸 스크립트 및 Office 매크로, React Native 및 Flutter 앱, 설치 프로그램, 펌웨어를 모두 커버합니다. disrobe catalog는 169개의 패커, 프로텍터, 난독화기, 바이트코드 패밀리를 15개 생태계에 걸쳐 인식하는 목록을 보여줍니다.
엔진은 내장되어 있습니다. Python 바이트코드는 Python 설치 없이 디컴파일되고, JavaScript 복구에는 Node.js가 필요 없으며, Java, Android, .NET 디컴파일러에는 JVM이나 .NET SDK가 필요하지 않습니다. jvm decompile과 dotnet decompile은 --backend로 지정한 경우에만 설치된 외부 디컴파일러를 실행합니다. Disrobe는 --allow-dynamic을 전달하지 않는 한 분석 대상 프로그램을 실행하지 않으며, 이 옵션은 PyArmor v6 및 v7에만 적용됩니다. 안전 모델은 입력에서 가져온 코드를 평가하는 제한된 인터프리터와 Disrobe가 시작하는 호스트 도구를 나열합니다.
이는 멀웨어 분석가, 리버스 엔지니어, 사고 대응 담당자, CTF 플레이어, 보안 연구자를 위해 만들어졌습니다.
라이선스: Disrobe Source-Available License 1.1. 라이선스에서 정의한 대로 개인 취미 프로젝트 및 학습, 무보수 독립 보안 연구, 비영리 교육 및 연구, 저널리즘은 무료입니다. 회사에 의한 또는 회사를 위한 모든 사용에는 유료 라이선스가 필요합니다.
빠른 시작 · 복구 대상 · 측정된 결과 · 작동 방식 · 안전 모델 · 문서
GitHub Releases에서 사용 중인 플랫폼용 아카이브를 다운로드하고, SHA256SUMS와 대조하여 확인한 뒤, disrobe(Windows에서는 disrobe.exe)를 PATH에 추가하세요. 그런 다음 실행하세요:
disrobe identify suspect.exe # compiler, packer, and protector, with evidence
disrobe auto suspect.exe --out recovered/ # remove the layers Disrobe can recover
disrobe context --out recovered/ # what each pass recovered, and at what confidence
identify의 기록된 출력과 이 저장소에 커밋된 UPX로 패킹된 Rust 프로그램(corpus/native/packers/upx/hello.packed.nrv2b.exe)에서 실행한 언패킹 단계:
$ disrobe identify hello.packed.exe
format: pe64 (64-bit) subsystem=windows-cui
packer UPX (96%) -> disrobe native unpack
- [section UPX0] UPX characteristic section
- [section UPX1] UPX characteristic section
- [section UPX2] UPX characteristic section
- [byte scan] UPX packer magic
...
$ disrobe native unpack hello.packed.exe --out recovered/hello.bin
native unpack: OK
input: hello.packed.exe
packer: upx
status: Implemented
packed_size: 53248
recovered: 116810 bytes
wrote: recovered/hello.bin
언패킹 벤치마크는 동일한 파일을 복구하여 원본 빌드와 비교합니다: .text 섹션은 바이트 단위로 동일하며, 73,160바이트로 차이가 없습니다 (unpacking measurements).
릴리스 아카이브는 Windows (x86-64, ARM64), macOS (x86-64, ARM64), Linux (glibc를 사용하는 x86-64 및 ARM64, musl을 사용하는 정적 x86-64)를 포함합니다. 각 아카이브에는 별도의 cosign 서명 번들이 있으며, SECURITY.md에서 검사 방법을 설명합니다. 소스에서 빌드하려면 rust-toolchain.toml에 고정된 Rust 툴체인 (1.96.1; 최소 지원 버전은 1.95)과 네이티브 의존성을 위한 C 툴체인이 필요합니다:
git clone https://github.com/1-3-7/disrobe
cd disrobe
cargo build --locked --release -p disrobe-cli --bin disrobe
설치 가이드는 기능 플래그와 선택적 외부 백엔드를 다룹니다. disrobe doctor를 실행하면 플랫폼에 따라 46개에서 51개의 외부 도구를 탐색하고 어떤 선택적 백엔드가 설치되어 있는지 확인할 수 있습니다.
각 행은 Disrobe가 읽는 형식과 제거하는 보호를 나타냅니다. disrobe catalog가 패밀리를 나열하는 경우, 표시된 수준은 카탈로그의 것입니다. 먼저 나열된 패밀리는 복구됩니다. 부분 패밀리는 입력이 허용하는 범위까지 벗겨지며, 결과는 남은 것을 나타냅니다. 탐지만 패밀리는 식별되며, 결과는 나머지를 복구할 수 없는 이유를 설명합니다. 보통 키가 런타임에만 존재하기 때문입니다. 굵게 표시된 이름은 이 저장소에 커밋된 실제 도구의 출력으로 평가됩니다. 다른 이름은 테스트용으로 작성된 샘플로 평가되거나 탐지만 됩니다. 각 생태계는 해당 가이드로 연결됩니다. Evidence 열은 각 행에 레이블을 지정합니다. real은 실제 컴파일러나 도구의 출력을 평가하는 결과나 테스트로 연결되고, synthetic은 테스트용으로 만들어진 입력으로만 평가되는 것을 나타내며, claimed는 어떤 테스트도 검증하지 않는 것을 나타냅니다.