एलएलएम के माध्यम से Windbg डीकंपाइल एक्सटेंशन

यह प्रोजेक्ट एक Windows x64 WinDbg एक्सटेंशन स्केलेटन है जो नाम या पते से फ़ंक्शन का पता लगाता है, एक नियतात्मक नियंत्रण-प्रवाह दृश्य का पुनर्निर्माण करता है, और स्यूडोकोड उत्पन्न करने के लिए सीधे एक्सटेंशन से LLM से पूछता है।

लेआउट

• src/extension: WinDbg एक्सटेंशन DLL और !decomp कमांड।
• src/shared: JSON, विश्लेषक, प्रोटोकॉल, और वेरिफ़ायर कोड जो एक्सटेंशन द्वारा साझा किया जाता है।
• scripts: बिल्ड और वेंडर-कॉपी सहायक स्क्रिप्ट।
• third_party/dbgeng: वैकल्पिक वेंडर की गई dbgeng.h और dbgeng.lib प्रति।
• third_party/zydis: वेंडर की गई स्थिर Zydis स्रोत ट्री जो उपस्थित होने पर डिफ़ॉल्ट रूप से उपयोग होती है।

वर्तमान दायरा

• केवल x64 मान्यताएँ
• DbgEng के माध्यम से लाइव-मेमोरी विश्लेषण
• स्थिर mnemonic/operand पुनर्प्राप्ति के लिए Zydis-समर्थित संरचित डिसअसेंबली
• प्रतीक-क्षेत्र, अनवाइंड, और अनुमानित फ़ंक्शन-सीमा पुनर्प्राप्ति
• इनकमिंग रजिस्टर तर्कों, स्टैक-स्लॉट लोकल्स, मर्ज उम्मीदवारों, और सामान्यीकृत शाखा स्थितियों के लिए SSA-lite शैली पुनर्प्राप्ति
• निम्न-स्तरीय IR मान तथ्य जिनमें def-use संकेत, कैनोनिकलाइज़्ड कॉपी/कॉन्स्टेंट अभिव्यक्तियाँ, और मृत-परिभाषा चिह्नक शामिल हैं
• ब्लॉक-स्तरीय मान स्थिति तथ्य जो रजिस्टरों और स्टैक लोकल्स में अभिसारित live-in/live-out पहुँच परिभाषाओं के लिए होते हैं
• प्राकृतिक लूप, if/else उम्मीदवार, switch उम्मीदवार, लूप इंडक्शन मेटाडेटा, और switch रेंज/डिफ़ॉल्ट मेटाडेटा के लिए dominator-समर्थित नियंत्रण-प्रवाह क्षेत्र तथ्य
• shadow/home स्लॉट्स, स्टैक पॉइंटर डेल्टा, prolog/epilog पहचान, no-return कॉल, टेल कॉल, थंक्स, इम्पोर्ट-रैपर उम्मीदवार, और पुनर्प्राप्त रजिस्टर/स्टैक कॉल तर्कों के लिए x64 ABI तथ्य
• xmm0 से xmm3 तक के लिए SIMD/FP-जागरूक Microsoft x64 तर्क पुनर्प्राप्ति, जिसमें गलत इनकमिंग तर्कों से बचने हेतु वेक्टर शून्य-मुहावरा गार्ड शामिल हैं
• पॉइंटर-जैसे मान, स्टैक लोकल्स, फ़ील्ड ऑफ़सेट, स्केल्ड-इंडेक्स ऐरे, एनम-जैसी तुलना, बिटफ़्लैग परीक्षण, और vtable उम्मीदवारों के लिए प्रकार पुनर्प्राप्ति संकेत
• मेमोरी/स्ट्रिंग हेल्पर्स, सुरक्षा कुकीज़, स्टैक प्रोब्स, आवंटक, एग्रीगेट इनिशियलाइज़र, और RIP-सापेक्ष ग्लोबल/इम्पोर्ट लोड के लिए मुहावरा और लाइब्रेरी-पैटर्न तथ्य
• प्रत्यक्ष कॉल, रजिस्टर/मेमोरी अप्रत्यक्ष कॉल, वर्चुअल-कॉल/vtable-ऑफ़सेट उम्मीदवार, रिटर्न प्रकार, पैरामीटर मॉडल, साइड इफेक्ट्स, मेमोरी प्रभाव, स्वामित्व संकेत, और विश्वास स्तर के लिए कॉल-टार्गेट तथ्य
• नियंत्रण-प्रवाह फ़्लैटनिंग डिस्पैचर्स, पुनर्प्राप्त अर्थपूर्ण किनारों, अपारदर्शी-प्रेडिकेट डेड किनारों, और स्केलर इंस्ट्रक्शन-प्रतिस्थापन मुहावरों के लिए OLLVM-शैली अस्पष्टता तथ्य
• डीऑबफस्केशन तत्परता तथ्य और /deobf:on|off नियंत्रण कि क्या पुनर्प्राप्त अस्पष्टता तथ्य pseudo-C पुनर्लेखन का मार्गदर्शन कर सकते हैं
• साक्ष्य ग्राफ़ तथ्य जो उच्च-संकेत विश्लेषक, PDB, और अवलोकित व्यवहार तथ्यों को निर्देश/ब्लॉक आधार से जोड़ते हैं
• विश्लेषक-जनित स्यूडोकोड स्केलेटन के साथ refine-first प्रॉम्प्टिंग, CFG क्षेत्रों, स्थितियों, और महत्वपूर्ण ब्लॉकों के लिए ग्राफ़-जागरूक सारांश, रैंक किए गए उच्च-संकेत तथ्य चयन, और बड़े तथ्य सेटों के लिए स्प्रेड सैंपलिंग
• एंट्री/बेसिक-ब्लॉक/साक्ष्य/कॉल-टार्गेट नेविगेशन के लिए WinDbg DML लिंक जब आउटपुट कॉलबैक DML का समर्थन करता है
• संक्षिप्त, साक्ष्य स्पष्टीकरण, केवल-तथ्य, डीबग प्रॉम्प्ट, JSON, और डेटा-मॉडल शैली आउटपुट के लिए अलग परिणाम मोड
• no-return, प्रकार, फ़ील्ड, और नाम बदलने के संकेतों के लिए उपयोगकर्ता सुधार स्विच
• लाइव, डंप, कर्नेल, और TTD-जैसे सत्रों के लिए सत्र-जागरूक विश्लेषण नीति तथ्य
• वर्तमान डीबगर संदर्भ से अवलोकित व्यवहार तथ्य, जिनमें रजिस्टर तर्क नमूने, मेमोरी हॉटस्पॉट, और जहाँ उपलब्ध हों TTD क्वेरी सुझाव शामिल हैं
• LLM प्रॉम्प्टिंग के लिए RIP-सापेक्ष स्ट्रिंग/ग्लोबल/IAT वर्गीकरण और कॉल-टार्गेट सिग्नेचर संकेत
• LLM प्रॉम्प्टिंग के लिए लोडेड-PDB जागरूक प्रोटोटाइप, स्कोप्ड पैरामीटर/लोकल, फ़ील्ड, एनम, और स्रोत-लाइन संकेत
• एक्सटेंशन से सीधे इन-प्रोसेस LLM कॉल
• OpenAI-संगत HTTP एडेप्टर या नियतात्मक मॉक फ़ॉलबैक
• LLM आउटपुट पर वेरिफ़ायर पास

WinDbg उपयोग

बिल्ड आउटपुट से एक्सटेंशन लोड करें, फिर किसी सिंबल या पते के विरुद्ध !decomp चलाएँ:```text .load C:\path\to\decomp.dll !decomp /doctor !decomp module!FunctionName !decomp 0x7ffb`12345678

जब सेटअप गलत लगे या LLM प्रदाता सक्षम करने से पहले `/doctor` का उपयोग करें:```text
!decomp /doctor
!decomp /doctor:net

• /doctor को किसी target की आवश्यकता नहीं होती और यह provider को कॉल नहीं करता। यह config path/load status, provider/model/endpoint सारांश, secrets के बिना auth उपस्थिति, timeout/token/chunking सेटिंग्स, DML समर्थन, session class/qualifier, processor प्रकार, और PDB caveats की रिपोर्ट करता है।
• /doctor:net को एक स्पष्ट network-check अनुरोध के रूप में स्वीकार किया जाता है, लेकिन वर्तमान में यह रिपोर्ट करता है कि provider ping छोड़ दिया गया है। एक्सटेंशन doctor मोड से network probe नहीं करता है।
• API keys, bearer tokens, refresh tokens, और URL query strings जैसे गोपनीय मान प्रिंट नहीं किए जाते।

Targets सार्वजनिक/निजी symbols, exported function names, या addresses हो सकते हैं। यदि target किसी function के अंदर किसी address पर resolve होता है, तो एक्सटेंशन symbols, unwind data, और control-flow heuristics से containing function range को पुनर्प्राप्त करने का प्रयास करता है। रिक्त स्थान वाले targets के चारों ओर quotes लगाएं:```text !decomp "my module!Function With Spaces"

सामान्य कमांड पथ स्थानीय विश्लेषण करता है, विश्लेषक तथ्यों का निर्माण करता है, वैकल्पिक रूप से कॉन्फ़िगर किए गए LLM एंडपॉइंट को कॉल करता है, पुनर्प्राप्त साक्ष्य के विरुद्ध प्रतिक्रिया को सत्यापित करता है, और pseudo-C के साथ आत्मविश्वास, चेतावनियाँ और अनिश्चितता नोट्स प्रिंट करता है:```text
!decomp ntdll!RtlAllocateHeap
!decomp kernel32!Sleep
!decomp game.exe!CheckIntegrity

सामान्य, brief, और explain आउटपुट में /verbose के बिना भी एक संक्षिप्त प्रगति स्ट्रीम शामिल होती है। लंबे LLM रन स्थानीय-विश्लेषण पूर्णता, चंक प्रगति, पुनर्प्रयास सूचनाएँ, मर्ज प्रारंभ, सत्यापन, और Ctrl+Break रद्दीकरण संकेत दिखाते हैं। मशीन-पठनीय मोड जैसे /view:json, /view:facts, /view:prompt, और /view:data प्रगति पंक्तियों और DML सहायक लिंक को दबा देते हैं ताकि स्क्रिप्ट को केवल अनुरोधित पेलोड प्राप्त हो।

आप जो देखना चाहते हैं उसे चुनने के लिए /view:* का उपयोग करें। यह कमांड सतह को छोटा रखता है: एक विकल्प सभी आउटपुट मोड को नियंत्रित करता है।```text !decomp /view:brief module!HotPath !decomp /view:explain module!BranchyFunction !decomp /view:json module!FunctionName !decomp /view:facts module!FunctionName !decomp /view:prompt module!FunctionName !decomp /view:data module!FunctionName !decomp /view:analyzer module!FunctionName !decomp /view:plan module!FunctionName

- `brief` लक्ष्य, आत्मविश्वास, सारांश, और पहली अनिश्चितता या सत्यापनकर्ता चेतावनी प्रिंट करता है।
- `explain` साक्ष्य, नियंत्रण-प्रवाह, प्रकार-संकेत, अवलोकित-व्यवहार, और कॉल-लक्ष्य अनुभाग जोड़ता है।
- `json` मशीन-पठनीय अनुरोध और प्रतिक्रिया JSON प्रिंट करता है।
- `facts` केवल विश्लेषक तथ्य प्रिंट करता है और LLM पथ को अक्षम करता है।
- `prompt` सटीक सिस्टम प्रॉम्प्ट, उपयोगकर्ता प्रॉम्प्ट, और प्रॉम्प्ट तथ्य प्रिंट करता है। यह LLM कॉल को अक्षम करता है।
- `data` एक स्थिर JSON स्नैपशॉट प्रिंट करता है जो WinDbg JavaScript/NatVis-शैली स्वचालन के लिए अभिप्रेत है।
- `analyzer` LLM को कॉल किए बिना नियतात्मक विश्लेषक-केवल स्यूडो-कोड पथ प्रस्तुत करता है।
- `plan` LLM को कॉल किए बिना या परिणाम कैश को अपडेट किए बिना स्थानीय विश्लेषण करता है और एक प्रीफ़्लाइट योजना प्रिंट करता है। इसमें लक्ष्य/मॉड्यूल/रेंज गणना, PDB उपलब्धता, सत्र नीति, अनुमानित चंकिंग, प्रॉम्प्ट-आकार-संबंधित गणना, और व्यावहारिक अनुशंसाएँ शामिल हैं।