1-3-7/disrobeSuíte CLI em Rust que descompila estaticamente, desofusca e desempacota código nativo, bytecode, scripts, firmware e pacotes de aplicativos em mais de 15 ecossistemas por meio de um único pipeline automático.
Disrobe é um descompilador estático, desofuscador e desempacotador. Ele remove empacotamento e ofuscação de software compilado uma camada por vez e recupera o código-fonte ou os bytes originais por baixo.
Forneça a disrobe auto um executável, um pacote de aplicativo, um script ou uma imagem de firmware. Ele nomeia cada camada (instalador, arquivo, empacotador, freezer, protetor, ofuscador, bytecode), remove-a com a passagem de recuperação correspondente e executa novamente sobre o que essa passagem produziu até que nenhuma passagem reconheça o que restou. Um único binário Rust cobre Python, JavaScript e WebAssembly, Java e Android, .NET, PE nativo, ELF e código Mach-O, Go, Lua, PHP, Ruby, Erlang e Elixir, ActionScript, scripts de shell e macros do Office, aplicativos React Native e Flutter, instaladores e firmware. disrobe catalog lista as 169 famílias de empacotadores, protetores, ofuscadores e bytecode que ele reconhece em 15 ecossistemas.
Os motores são integrados. O bytecode Python é descompilado sem uma instalação do Python, a recuperação de JavaScript não precisa do Node.js, e os descompiladores Java, Android e .NET não precisam de JVM ou .NET SDK; jvm decompile e dotnet decompile executam um descompilador externo instalado apenas quando --backend o nomeia. O Disrobe não inicia o programa que analisa, a menos que você passe --allow-dynamic, que se aplica apenas ao PyArmor v6 e v7. O modelo de segurança lista os interpretadores limitados que avaliam código obtido de uma entrada e as ferramentas de host que o Disrobe inicia.
Ele é feito para analistas de malware, engenheiros reversos, respondedores de incidentes, jogadores de CTF e pesquisadores de segurança.
Licença: Disrobe Source-Available License 1.1. Projetos pessoais de hobby e aprendizado, pesquisa de segurança independente não remunerada, educação e pesquisa sem fins lucrativos, e jornalismo são gratuitos, conforme definido pela licença. Qualquer uso por ou para uma empresa requer uma licença paga.
Início rápido · O que ele recupera · Resultados medidos · Como funciona · Modelo de segurança · Documentação
Baixe o arquivo para sua plataforma em GitHub Releases, verifique-o em relação a SHA256SUMS e coloque disrobe (disrobe.exe no Windows) no seu PATH. Em seguida, execute:
disrobe identify suspect.exe # compiler, packer, and protector, with evidence
disrobe auto suspect.exe --out recovered/ # remove the layers Disrobe can recover
disrobe context --out recovered/ # what each pass recovered, and at what confidence
Saída registrada do identify e da etapa de desempacotamento, executada em um programa Rust empacotado com UPX incluído neste repositório (corpus/native/packers/upx/hello.packed.nrv2b.exe):
$ disrobe identify hello.packed.exe
format: pe64 (64-bit) subsystem=windows-cui
packer UPX (96%) -> disrobe native unpack
- [section UPX0] UPX characteristic section
- [section UPX1] UPX characteristic section
- [section UPX2] UPX characteristic section
- [byte scan] UPX packer magic
...
$ disrobe native unpack hello.packed.exe --out recovered/hello.bin
native unpack: OK
input: hello.packed.exe
packer: upx
status: Implemented
packed_size: 53248
recovered: 116810 bytes
wrote: recovered/hello.bin
O benchmark de desempacotamento recupera o mesmo arquivo e o compara com a compilação original: a seção .text é byte a byte idêntica, 73.160 bytes sem diferenças (medições de desempacotamento).
Os arquivos de release cobrem Windows (x86-64, ARM64), macOS (x86-64, ARM64) e Linux (x86-64 e ARM64 com glibc, x86-64 estático com musl). Cada arquivo tem um bundle de assinatura cosign separado, e o SECURITY.md explica a verificação. Compilar a partir do código-fonte requer o toolchain Rust fixado em rust-toolchain.toml (1.96.1; a versão mínima suportada é 1.95) e um toolchain C para dependências nativas:
git clone https://github.com/1-3-7/disrobe
cd disrobe
cargo build --locked --release -p disrobe-cli --bin disrobe
O guia de instalação cobre as feature flags e os backends externos opcionais. Execute disrobe doctor para sondar de 46 a 51 ferramentas externas, dependendo da plataforma, e ver quais backends opcionais estão instalados.
Cada linha nomeia os formatos que o Disrobe lê e a proteção que ele remove. Onde disrobe catalog lista uma família, o nível mostrado é o do catálogo. As famílias nomeadas primeiro são recuperadas. As famílias Parcial são descascadas até onde a entrada permite, e o resultado nomeia o que resta. As famílias Detect only são identificadas, e o resultado declara por que o restante não pode ser recuperado, geralmente porque uma chave existe apenas em tempo de execução. Um nome em negrito é avaliado com base na saída da ferramenta real, commitada neste repositório; os outros nomes são avaliados com base em amostras escritas para os testes, ou são apenas detectados. Cada ecossistema tem um link para o seu guia. A coluna Evidence rotula cada linha: real vincula um resultado ou teste que avalia a saída do compilador ou ferramenta real, synthetic nomeia o que é avaliado apenas com base em entradas construídas para os testes, e claimed nomeia o que nenhum teste exercita.