Thyme — 本地化反编译 IDE，逆向工程师的桌面工作台

产品简介

Thyme 是一款面向 Android 与原生二进制文件的桌面反编译 IDE，主打"打开 APK 直接拿回 Java，再打开 .so 立刻得到 ARM 汇编"的一体化体验。它把 Java 反编译、ARM 反汇编、控制流图、调用图全部装进同一个 DuckDB 数据库里，调用图变成了可以直接跑 SQL 查询的表——这是它和 IDA、Ghidra、JEB 等传统工具最大的不同。

工具支持 macOS、Linux、Windows 全平台（.dmg / .msi / .deb / .AppImage），反编译引擎以进程内方式集成，没有子进程、没有临时目录，所有分析在用户机器本地运行，不上传 APK 或二进制内容。License 验证是唯一外联请求，且支持离线验签，断网环境照样能启动。

核心功能

1. Java / DEX 反编译（in-process）：内嵌 Garlic Java/Dex 反编译器，快速把 JVM、Dalvik 字节码还原回 Java 源码，并保留编译器留下的符号信息。
2. ARM 反汇编 A64 / A32 / T32：支持 ARM 三种指令集的静态反汇编分析，覆盖 A64、A32 与 T32 指令集，输出带操作数的助记符表。
3. 可查询的调用图：跨 Java、Dalvik 与原生库的调用图查询，APK 内的 Java 与 native 代码可以无缝串起来追踪。
4. 控制流图：以基本块为单位、汇编内联展示，按边类型着色，支持从入口点表跳转到地址，并可导出为 Graphviz .dot。
5. Hex 与 Smali 视图：当反编译结果不够真时，可以一键落到字节级或 Smali 层面。
6. 原生库提取：把 APK 里每一个 .so 单独抽出来当作一个项目，裸库也可以独立分析。
7. 手机投屏：内置 GPU 色彩转换路径的投屏面板，1080×2400 设备看屏不耗 CPU。
8. MCP Server 支持：thyme --mcp 通过 stdio 暴露 Model Context Protocol，AI Agent 可经 unix socket 或命名管道驱动整个分析流程，不开放网络端口。
9. 统一 AI 面板：把已有 AI CLI（Claude Code 等）的凭据集中在一个面板，对打开的项目直接启动 AI 辅助分析。

特色优势

• 一体化工作台：传统逆向流程需要 JEB 看 Java、IDA 看 native、Ghidra 看图——Thyme 把这些步骤全部压缩到同一进程、同一数据库，调用图本身就是可 SQL 查询的 DuckDB 表。
• 完全本地化：所有分析均在本地执行，仅 License 验证时做一次最小化 HTTPS 通信；MCP Server 通过本地 socket / 命名管道暴露，不监听网络端口，安全性与离线可工作性均显著优于传统方案。
• 永久 License + 离线激活：一次性付费、永久使用，License 是 ~/.garlic/license 文本文件，App 自带公钥本地验签，无需账号、无需在线激活；离线断网环境照样启动。
• AI Agent 原生集成：MCP Server 让 Thyme 不只是被动工具，而是 Agent 工作流中的一等节点，可以被任意支持 MCP 的 Agent 直接驱动。

应用场景

1. Android 应用安全审计：审计 APK 中的混淆逻辑、敏感 API 调用、native 层加密实现，直接从调用图 SQL 查询出可疑链路。
2. 恶意软件分析：拆解可疑 APK 与 .so，结合调用图与控制流图追踪通信、权限提升、持久化路径。
3. 游戏 / SDK 逆向研究：从 APK 与 .so 中提取关键算法、协议、签名逻辑，研究竞品实现细节。
4. CVE 漏洞复现与 PoC 编写：分析已知漏洞的 native 层修复与触发点，借助 CFG 与交叉引用复现根因。
5. 协议还原与抓包辅助：把 native 库的字符串/常量表 dump 出来辅助协议还原，结合控制流图理解加密路径。
6. AI 辅助逆向：通过 MCP 让 AI Agent 接管常规查询，由 Agent 调取 Thyme 的反编译与图数据，输出分析报告。

适用人群

• 移动安全研究员 / Android 渗透测试工程师
• 逆向工程师 / 漏洞研究者
• 恶意软件分析师 / 威胁情报研究员
• 游戏安全与反外挂研究员
• 需要 native + Java 交叉分析的安全团队
• 想把 AI Agent 接进逆向流程的 AI 工程团队

出品方

由独立开发者 neocanable 在 Hacker News 公开亮相的逆向工具，反编译器 Garlic 在 GitHub 开源（github.com/neocanable/garlic），当前版本 0.1.0，所有 0.x 更新对 Pro / Enterprise License 用户免费。

价格与版本

• Free：$0 永久免费，包含 APK/DEX/JAR/IPA 打开、ARM A64/A32/T32 反汇编、控制流图、Hex 与 Smali 视图、手机投屏；首次启动赠送 30 天 Analysis Pass 试用。
• Pro：$49 一次性付费，加入 Analysis Pass（工作区数据库、SQL 可查询调用图、原生库分析）。
• Enterprise：$490 一次性付费，面向需要书面授权的机构，与 Pro 同 License 文件、不限席位、永久使用。

官网链接

• 官网：https://apppipeline.online/
• GitHub（反编译器）：https://github.com/neocanable/garlic