OWASP DecodeBox

인코딩. 디코딩. 식별. 모든 데이터를 위한 스마트 디코딩.

프로젝트 상태

사전 릴리스이며, 이미 사용 가능합니다. 워크벤치가 작동하고, 탐지 엔진이 계층화된 페이로드를 풀어내며, 분석 보고서도 완성되었습니다.

엔진: 데이터 형식, 암호, 공개키 암호화, 해싱, 압축, 네트워킹, 포렌식, 멀티미디어, 추출기를 아우르는 504개의 연산. 모든 연산은 왕복 테스트 또는 공개된 정답 테스트(known-answer test)로 검증되며, 총 1,109개의 테스트가 있습니다.
인터페이스: 세 가지 모드 — 변환을 위한 워크스페이스, 이해를 위한 보고서, 다음에 무엇을 시도할지 파악하기 위한 CTF 모드 — 로 구성되며 owasp.github.io/DecodeBox 에 배포되어 있습니다.

남은 작업: 접근성 감사와 국제화(i18n) 작업입니다. 디스어셈블러와 OCR 엔진은 의도적으로 범위에서 제외했습니다 — 이들은 연산이 아니라 그 자체로 별개의 프로젝트입니다.

프로젝트 소개

이런 도구의 통상적인 모델은 사용자가 이미 자신의 데이터가 무엇인지 안다고 가정합니다. 연산을 고르고, 연결하고, 반복합니다. 형식을 한눈에 알아볼 때는 괜찮지만, 그렇지 않을 때는 쓸모가 없습니다 — 분석가가 새로운 무언가를 들여다볼 때는 대부분 그렇습니다.

DecodeBox는 반대쪽 끝에서 시작합니다. 붙여넣기만 하면 무엇을 들고 있는지 파악합니다. 모든 계층을 풀어내고, 모든 지표를 추출하고, 모든 보안 발견 사항을 설명하며, 각 주장에 대한 근거를 단언이 아니라 눈에 보이게 제시합니다.

모든 것은 브라우저에서 실행됩니다. 어떤 입력, 레시피, 파일도 사용자의 기기를 떠나지 않습니다 — 보낼 서버가 없기 때문입니다.

핵심 목표

식별: 사용자가 먼저 이름을 붙이도록 요구하는 대신, 알 수 없는 데이터의 이름을 밝힙니다.
설명: 모든 주장 뒤에 있는 측정값을 보여주어 신뢰도 점수를 검증할 수 있게 합니다.
분석: 페이로드의 바이트가 말하는 것뿐 아니라 페이로드가 의미하는 것 — 모든 깊이에서의 지표와 보안 발견 사항 — 을 보고합니다.
보장: 처리를 전적으로 클라이언트 측에서 유지하고, 이를 문서에서 약속하는 대신 빌드 단계에서 강제합니다.

실제 동작 보기

테스트 스위트에서 가져온 실제 페이로드: JSON 위에 gzip, 그 위에 Base64, 또 그 위에 Base64가 겹쳐 있고, 한 필드에는 PowerShell 로더가 들어 있습니다.

Findings   4        Indicators 7        Layers 8        257 ms

CRITICAL  Cloud or service credential            CWE-798
          Input → Base64 → Base64 → gzip
          AKIAIOSFODNN7EXAMPLE

CRITICAL  PowerShell download-and-execute        CWE-94
          Input → Base64 → Base64 → gzip → JSON → Base64 → UTF-16LE
          IEX (New-Object Net.WebClient).DownloadString

두 번째 발견은 여섯 계층 아래에 있으며, 마지막 홉은 하나의 JSON 필드 안에 있는 Base64 블롭에서 나왔습니다. 원본 블롭을 grep하는 어떤 것도 이를 보지 못하며, 단일 선형 체인을 풀어내는 어떤 것도 여기에 도달하지 못합니다.

작동 방식

탐지. 후보 해석들은 독립적인 신호들 — 섀넌 엔트로피, 문자 집합, 길이 규칙, 매직 바이트, 그리고 디코딩된 결과 자체가 잘 형성되어 있는지 여부 — 로부터 점수가 매겨집니다. 각 신호는 사람이 읽을 수 있는 근거를 동반하며, 마지막 신호가 가장 큰 가중치를 가집니다: 어떤 긴 16진수 문자열이든 Base64처럼 형태를 갖추고 있지만, 오직 하나의 해석만이 일관된 무언가로 디코딩됩니다.
풀기. 최상위 후보가 디코딩되고 결과에 대해 탐지가 다시 실행되어, 체인이 아닌 트리를 구축합니다 — 구조물 내부에 묻혀 있는 인코딩된 영역까지 포함합니다. 재귀는 깊이, 노드 수, 그리고 실제 경과 시간에 의해 제한됩니다.
종료하고, 이유를 밝히기. 체인은 콘텐츠에서, 명명된 단방향 값(Base64 → Base64 → MD5)에서, JWT 서명처럼 디코딩할 수 없는 나머지에서, 또는 한계에 도달했으며 그 아래에 더 있을 수 있다는 정직한 인정에서 끝납니다.
스캔. 지표와 보안 발견 사항이 트리의 모든 노드에서 수집되며, 각각은 CWE 참조, 증거, 그리고 이를 드러낸 정확한 디코드 경로와 함께 보고됩니다.

선언된 어떤 것도 입력을 설명하지 못할 때, DecodeBox는 모든 단일 바이트 XOR 키와 모든 회전을 시도하고 각 결과를 가독성에 대해 점수화합니다 — 이는 일치가 아닌 탐색이었음을 분명히 밝히는 신뢰도 수준에서 이루어집니다.

보안 및 개인정보

DecodeBox는 설계상 신뢰할 수 없는, 의도적으로 악의적으로 변형된 입력을 처리합니다.

백엔드 없음. 침해할 것도, 기록할 것도, 소환할 것도 없습니다.
네트워크 없음, 강제됨. 빌드는 connect-src 'none'과 script-src 'self' 및 하나의 인라인 스크립트에 대한 해시를 포함한 콘텐츠 보안 정책을 제공합니다. 폰트는 가져오는 대신 번들로 포함되며, 출력물에 CDN 참조가 나타나면 빌드가 실패합니다.
동적 평가 없음. eval, new Function, 그리고 입력을 HTML로 렌더링하는 모든 경로는 관례가 아닌 린트 규칙에 의해 금지됩니다.

style-src는 'unsafe-inline'을 허용하는데, 이는 React가 인라인 style 속성을 작성하기 때문입니다; 실제 위험이 존재하는 script-src는 엄격하게 유지됩니다. 취약점을 보고하려면 SECURITY.md를 참조하십시오 — 보안 보고를 위해 공개 이슈를 열지 마십시오.

저장소 구조

DecodeBox/
├── .github/workflows/   # CI, CodeQL, SBOM, markdown quality, Pages deployment
├── public/              # Bundled fonts, favicon, CNAME
├── src/
│   ├── engine/          # The analysis engine — the only half that knows about data
│   │   ├── index.ts     # THE SEAM — the only module the interface imports from
│   │   ├── operations/  # One self-contained module per transformation
│   │   ├── detection/   # Entropy, charset, magic bytes, structural validity
│   │   ├── analysis/    # Recursive exploration, indicators, security findings
│   │   ├── ctf/         # Flag search, cipher key recovery, ranked hints
│   │   ├── core/        # Recipe executor, byte handling, ciphers, codecs
│   │   └── worker/      # The engine off the main thread, past a size threshold
│   ├── components/      # The interface: workspace, report, CTF mode
│   ├── store/           # One zustand store
│   ├── hooks/           # Interaction logic shared across components
│   ├── lib/             # Share links, saved recipes, recipe text format
│   ├── i18n/            # Every user-facing string
│   └── styles/          # Design tokens and themes
├── SECURITY.md
└── LICENSE

인터페이스는 일곱 개의 함수를 노출하는 하나의 좁은 파사드를 통해 엔진에 도달합니다 — listOperations, bake, detect, autoDecode, identify, analyse, hints. 두 부분 모두 독립적으로 개발, 테스트, 교체될 수 있습니다. 워크스페이스는 한때 엔진을 한 줄도 바꾸지 않고 처음부터 다시 구축된 적이 있습니다. 연산을 추가할 때 UI를 건드릴 필요가 없어야 합니다.

빠른 시작

Node.js 22.12 이상이 필요합니다. CI는 22와 24에서 빌드하며, .nvmrc는 개발용으로 22를 고정합니다.

npm install
npm run dev     # development server
npm run test    # 1,109 tests
npm run build   # static site in dist/

빌드 출력은 완전히 정적입니다 — 런타임도, 서버도, 환경 변수도 없습니다. 어떤 정적 호스팅 서비스든 이를 제공할 수 있습니다.

단일 파일, 설치 불필요

실행 중인 애플리케이션의 헤더에 Download DecodeBox 버튼이 있습니다. 이 버튼을 누르면 decodebox.html을 받을 수 있습니다: 인터페이스, 504개의 모든 연산, 폰트, 스타일이 모두 담긴 1.2 MB 크기의 단일 파일입니다. 더블클릭하면 실행됩니다. 서버도, npm도, 네트워크도, 설치할 것도 없으며, 이는 빌드 툴체인을 들여오는 것이 파일 하나를 들여오는 것보다 어려운 에어갭 머신에서 바로 그 핵심입니다.

npm run build는 사이트와 함께 이 파일을 생성하므로, 어떤 배포든 이를 제공합니다:

dist/index.html       the site
dist/decodebox.html   the same build, in one file

단일 파일이어야 하며 폴더가 아니어야 합니다. 브라우저는 file:// URL에서 ES 모듈 로드를 거부합니다. 오리진이 불투명(opaque)하기 때문에 요청이 CORS 검사를 통과하지 못하며, 이는 디스크에서 열린 일반적인 dist/ 폴더가 빈 화면으로 표시된다는 것을 의미합니다. 모든 것이 인라인화되면 실패할 요청이 남지 않습니다. 유일하게 포기하는 것은 Web Worker인데, 이는 정의상 두 번째 파일이 필요하므로, 독립 실행형 빌드는 매우 큰 입력에 대해 메인 스레드에 머무르며 그 외에는 동일합니다.

기여 방법

사이트가 라이브 상태이므로, 지금 가장 가치 있는 일은 사이트를 사용하고 깨뜨리려고 시도하는 것입니다. 기여를 환영하며, 특히 다음 영역에서 환영합니다:

테스트: 실제 페이로드를 owasp.github.io/DecodeBox에 붙여넣고 잘못 처리하는 모든 것을 보고해 주세요 — 특히 확신을 가지고 잘못 처리하는 것을요.
운영: 새로운 변환. 하나의 자체 포함 모듈, 하나의 테스트 파일, UI 변경 없음.
탐지: 근거를 설명하는 더 나은 휴리스틱. 확신에 찬 오답은 답이 없는 것보다 나쁩니다.
접근성: WCAG 2.1 AA 감사는 아직 수행되지 않았습니다.

OWASP 기여 가이드라인부터 시작하세요. 모든 참가자는 OWASP 행동 강령을 준수해야 합니다.

프로젝트 리더

Mohammad Hossein Sadeghian

라이선스

Apache License 2.0에 따라 라이선스가 부여됩니다. OWASP Foundation Incubator 프로젝트로, Tool로 분류됩니다.

DecodeBox

인기