N0xis

एक रिवर्स-इंजीनियरिंग टूलकिट: PE और ELF के लिए डिसअसेम्बलर, SSA डीकंपाइलर, C++ क्लास रिकवरी और लाइव-प्रोसेस विश्लेषण। स्टैटिक फ़ाइलें और चल रही प्रोसेस एक ही पाइपलाइन से गुज़रती हैं, और हर उत्तर JSON होता है जिस पर कोई स्क्रिप्ट कार्य कर सकती है।

तीन फ़्रंट एंड उसी कोर को साझा करते हैं: CLI, जहाँ एक कमांड एक JSON ऑब्जेक्ट के साथ उत्तर देता है (एक serve सत्र जिसमें एक ready envelope होता है, फिर प्रति अनुरोध एक); अपने अलग रिपॉज़िटरी में एक डेस्कटॉप GUI, n0xis-gui; और एक MCP सर्वर, n0xis-mcp — 27 टूल्स जो stdio पर JSON-RPC के माध्यम से वही envelope लौटाते हैं।

एक लाइव रन: किसी प्रोग्राम की डिक्रिप्टेड सेटिंग्स को उसकी मेमोरी में खोजें, हार्डवेयर वॉचपॉइंट से उन्हें देखें, और वह डीकंपाइल्ड लूप प्राप्त करें जिसने उन्हें लिखा

_{examples/config-demo का एक वास्तविक रन: एक प्रोग्राम अपनी सेटिंग्स को एन्क्रिप्टेड रखता है और उन्हें मेमोरी में डिक्रिप्ट करता है; plaintext खोजें, उस पर एक हार्डवेयर वॉचपॉइंट लगाएँ, और वह डीकंपाइल्ड कोड प्राप्त करें जिसने उसे लिखा। इसे demo.sh के साथ स्वयं दोबारा चलाएँ।}

$ n0xis provenance trace --pid 181529 --addr 0x564e32cb7060 --kind write

"instruction_va": "0x564e32cb4266",   // the byte store that wrote the watched address
"function_va": "0x564e32cb4230",      // the function it sits in, on this build (see below)
"decompiled_context": [
  "rcx.3 = (uint32_t)((uint32_t)(uint32_t)*(uint8_t*)((rsi.1 + v2)) ^ (uint32_t)v1);",
  "*(uint8_t*)((rdi.1 + v2)) = (uint8_t)rcx.3;",   // ← the write
  "rcx.4 = (uint32_t)(v1 + (v1 * 0x2));",
  "v2 = (v2 + 0x1);",
  "v1 = (uint32_t)((v1 + (rcx.4 * 0x4)) + 0x7);"
]

स्रोत में यह config[i] = sealed[i] ^ key; key = key * 13 + 7; है: दो कथन rcx.4 = v1 + v1 * 2 और v1 = v1 + rcx.4 * 4 + 7 मिलकर v1 * 13 + 7 बनते हैं। उत्तर पते देता है, नाम config और decrypt_config नहीं: बाइनरी के प्रतीकों से आए नाम अभी इसमें नहीं लिए गए हैं। यह बिल्ड gcc -O2 है, जहाँ function_va फ़ंक्शन का प्रारंभ है; उसी स्रोत के clang -O2 और gcc -O1 बिल्ड पर यह लूप हेड है, जिसका उत्तर बिना किसी नोट के ok:true है। यह रन Linux पर है; provenance trace का अंतिम Windows रन ledger में है।

कहाँ क्या चलता है

yes: हर जाँच सहमत · partial: उपयोगी, नीचे दिए गए अंतरालों के साथ · wrong: मापे गए इनपुट पर गलत परिणामों के साथ ok:true · refused: एक टाइप्ड त्रुटि · not yet: कोई कोड पथ नहीं। अक्टूबर 2026 में ज्ञात स्रोत से बने प्रोग्रामों पर, प्रोसेसर और स्वतंत्र टूल के विरुद्ध मापा गया।

Format	Static file	Live process
PE32+, PE32 (x86-64, x86, ARM64)	partial: नीचे दिए गए अंतराल और गलत उत्तर	Windows: इस तालिका के लिए मापा नहीं गया
ELF64, ELF32 (x86-64, x86, AArch64, ARMv7)	partial: नीचे दिए गए अंतराल और गलत उत्तर; big-endian: decompile और RTTI refused	Linux x86-64: partial: नीचे दिए गए live प्रविष्टियाँ; अन्य ISA मापे नहीं गए
Mach-O, thin और universal	refused (`load-failed`)	not yet
WebAssembly	partial: फ़ंक्शन सूची, disassembly, किसी फ़ंक्शन से और उस तक की कॉलें, imports, exports, `profile` और `strings` (linear memory में प्रत्येक string के स्थान के साथ) हर मापे गए मॉड्यूल पर `wasm-objdump` से सहमत हुए; decompile, IR और lift आवश्यक करने वाले अन्य कमांड refused (`not-lifted`: lift चरण 3 है)	not yet
Raw bytes (`--bytes`)	disassemble, cross-references, एक रेंज के साथ strings; discover और decompile partial; `profile` और `rtti scan` refused	—

ISA	Disassemble	Discover functions	Decompile
x86-64	yes	unwind tables के साथ yes; उनके बिना partial	partial
x86 (i386)	yes	partial: `.eh_frame` के साथ भी, GCC की padding और `.plt` फ़ंक्शन के रूप में सूचीबद्ध, नामों में बिंदु पुनर्लिखित, एक अंत अनुपस्थित	partial
AArch64, little- और big-endian	yes	little-endian `.eh_frame` के साथ yes; big-endian partial: `.eh_frame` द्वारा घोषित फ़ंक्शन छूट जाते हैं; उसके बिना partial; PE पर `--pdata` गलत है	partial; big-endian refused
ARMv7 A32	partial: कोई NEON नहीं, कोड में डेटा को कोड के रूप में डिकोड किया गया	partial	wrong: jump tables, tail calls
ARMv7 Thumb-2 (`--arch thumb`)	wrong: branch targets, IT conditions	partial: कोई नाम या अंत नहीं	wrong: एक IT-predicated return फ़ंक्शन को समाप्त कर देता है
WebAssembly	yes; किसी branch का लक्ष्य एक label depth है, जो चरण 3 तक नहीं दिया जाता	yes: हर body, उसका विस्तार, index और नाम	refused (चरण 3)

ok:true के साथ गलत: MinGW PE में Itanium RTTI (अनुपस्थित बताया गया), ARM64 PE पर --pdata, profile में लंबे MinGW सेक्शन नाम (/4), एक ELF shared object की export सूची और उस ऑब्जेक्ट के फ़ंक्शन्स को दिए गए .localalias नाम, GCC का i386 padding और .plt ब्लॉक जिन्हें फ़ंक्शन के रूप में सूचीबद्ध किया गया, प्रतीक नामों में बिंदुओं को अंडरस्कोर के रूप में प्रिंट किया जाना (__x86.get_pc_thunk.bx के लिए __x86_get_pc_thunk_bx), और big-endian AArch64 discovery में उन फ़ंक्शन्स का अनुपस्थित होना जिन्हें उसका .eh_frame घोषित करता है। decompiler pass-through आर्ग्युमेंट्स को छोड़ देता है, अंकगणितीय शिफ्ट्स को unsigned प्रिंट करता है और 64-bit गुणनों को 32-bit के रूप में, किसी ऐसे रजिस्टर पर switch कर सकता है या उसे पढ़ सकता है जिसे वह कभी assign नहीं करता, AArch64 पर गलत स्ट्रिंग का नाम दे सकता है, A32 पर (और AArch64 पर भी उसी आकार में) एक countdown लूप को एक पुनरावृत्ति कम चलाता है, और 32-bit x86 पर स्टैक आर्ग्युमेंट्स और 64-bit परिणामों का उच्च आधा भाग खो देता है। इसका quality फ़ील्ड एक शुद्धता स्कोर नहीं है। गणनाओं सहित पूरी सूची ledger में है।
छूट गया, कम के साथ ok उत्तर दिया: unwind tables के बिना, केवल vtables के माध्यम से पहुँचे जाने वाले फ़ंक्शन्स, MSVC-ABI entry point और एक ELF shared object का अधिकांश भाग; absolute immediates में रखे गए संदर्भ, AArch64 adrp+add या adr, या i386 GOT; Itanium secondary vtables, और stripped image की हर Itanium class; ऐसे नाम जो केवल COFF symbol table में होते हैं। x64 PE के साथ एक PDB ने मापे गए दो lld-link images पर हर start, name और end दिया (35 में से 35, 18 में से 18)।
Live (Linux): provenance trace किसी लिखे गए पते को string literal के रूप में प्रिंट करता है जब वहाँ के बाइट्स संयोगवश printable हों, और कुछ builds पर loop head को फ़ंक्शन के रूप में नामित करता है (ऊपर); byte-pattern scan (scan aob) को अपठनीय क्षेत्र से आगे निकलने के लिए --start/--size की आवश्यकता होती है; scan dissect फ़ील्ड प्रकारों का अनुमान लगाता है; केवल-Windows कमांड अन्यत्र मना कर देते हैं।

Install

Linux और Windows के लिए पहले से बने बाइनरी, MCP server और sha256sums.txt: latest release।

curl -LO https://github.com/Structio-labs/N0xis/releases/latest/download/n0xis-linux-x86_64
curl -LO https://github.com/Structio-labs/N0xis/releases/latest/download/sha256sums.txt
sha256sum -c --ignore-missing sha256sums.txt
chmod +x n0xis-linux-x86_64 && mv n0xis-linux-x86_64 n0xis && ./n0xis --version

या इसे स्थिर Rust के साथ, Linux या Windows पर बनाएं: cargo build --workspace --release। rust-toolchain.toml केवल चैनल को पिन करता है, और बताता है कि MSVC Build Tools के बिना Windows पर कैसे बनाया जाए।

N0xis

सबसे लोकप्रिय

N0xis

कहाँ क्या चलता है

Install

Quickstart