paranoia

Paranoia 提供反汇编、控制流图、反编译、调试和脚本功能，其快捷键和脚本命名对 IDA 用户来说十分熟悉。它完全在你的机器上运行：无需账户、无遥测、无更新检查。引擎使用 Rust 编写，桌面应用、命令行工具、浏览器构建（WebAssembly）以及面向 AI 代理的 MCP 服务器均使用同一引擎。

功能

• 格式： PE/PE32+（转发器、TLS 回调、.pdata、.NET 检测）、ELF（PIE、PLT/GOT、符号版本）、Mach-O（通用二进制、绑定操作码、链式修复、导出 trie）。
• 架构： x86、x86-64、AArch64、ARM32/Thumb-2、RISC-V、MIPS、PowerPC。
• 分析： 从入口点、导出、符号和展开表识别函数（因此被剥离符号的 ELF 和 Mach-O 文件仍能保留其函数）、switch 表、交叉引用、IDA 风格的自动命名。
• 反编译器： 支持 x86 和 x64，具备类型化变量、API 常量、循环和 switch、结构体成员访问（在变量上按 Y）以及跟随调用的类型。AArch64 为实验性支持。
• 编辑： 重命名、注释、书签、定义代码/数据/字符串、创建函数、本地 C 类型、撤销和重做。所有内容按文件哈希保存。
• 补丁： 十六进制视图、字节补丁、NOP/反转/强制跳转、x86 汇编器、保存已修补的文件。
• 调试信息： PDB 和 DWARF 名称与类型、FLIRT 签名（.sig 和 .pat）。
• 调试器： 本地 Windows（x64 和 32 位）和 Linux x86-64 程序。
• 脚本： 在你自己的解释器中运行 Python（idc 和 idautils 可用于常见调用）、JavaScript、插件，以及无头批处理模式。
• AI： 应用内可选助手（本地或托管模型），以及面向 Claude Code 等代理的 paranoia mcp，可对模型隐藏样本的字符串，并记录代理所看到的一切。参见 docs/MCP.md。

速度（在 Core i5-12450H 上使用发布构建测得）：notepad.exe 分析耗时 45 毫秒，shell32.dll（7.7 MB，24 449 个函数）约需一秒。

限制

• 伪代码仅支持 x86 和 x64。AArch64 伪代码为实验性（无类型，仅在 Go 二进制上测试过）。其他架构仅有反汇编和图形。
• MIPS 仅在已知指令编码上测试过，未在完整二进制上测试。
• 调试器仅运行本地程序。远程调试已列入计划。
• 发布构建仅支持 Windows。在 Linux 上需从源码运行应用。macOS 和 Linux 软件包已列入计划。
• 尚无 PE/ELF/Mach-O 头的原始固件镜像目前无法加载。
• Windows 可执行文件尚未进行 Authenticode 签名。

完整列表见路线图。

安装

从 Releases 下载安装程序或便携版构建。由于可执行文件未签名，首次启动时 SmartScreen 可能会发出警告。你可以使用已签名的校验和来验证下载内容：

Get-FileHash .\Paranoia-<version>-portable.exe -Algorithm SHA256   # compare with SHA256SUMS

cosign verify-blob SHA256SUMS --bundle SHA256SUMS.sigstore.json \
  --certificate-identity-regexp '^https://github\.com/Altumptic/paranoia/\.github/workflows/ci\.yml@refs/tags/v' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com
gh attestation verify Paranoia-<version>-portable.exe --repo Altumptic/paranoia

更多内容见 docs/VERIFY.md。

隐私与安全

该应用不进行任何网络连接。唯一的例外是 AI 助手，且仅在你将其指向某个服务器之后。你的名称、注释和最近文件存储在 %APPDATA%\Paranoia 中，不会存储在其他任何地方。

渲染器处于沙箱中，引擎在其自己的进程中运行，并且只打开你选择的文件，启动调试器或 Python 脚本前会先请求确认。调试器会运行你正在分析的程序，因此请使用虚拟机处理恶意软件。目前尚未进行独立审计。

详情：docs/SECURITY-DESIGN.md。如需报告漏洞，请参阅 SECURITY.md。

快捷键

按键	操作	按键	操作
Ctrl O	打开文件	Space	列表 / 图表
Ctrl K、G	跳转到地址或名称	Tab、F5	伪代码
Esc、Alt ←	后退	Alt →	前进
Enter	跟随操作数	X	交叉引用
N	重命名	;	注释
Y	为变量指定类型	Alt M、Ctrl M	添加书签、列出书签
P	创建函数	Ctrl Z、Ctrl Y	撤销、重做
C D A U	代码、数据、字符串、取消定义	Ctrl `	脚本控制台
H R B M	十六进制/十进制、字符、二进制、枚举	1–6	切换视图
Alt B Alt T Alt I	搜索字节、文本、立即数	Ctrl B、Ctrl J	侧边栏、检查器
F2 F9 F7 F8 F4	断点、运行、单步进入、单步跳过、运行到光标处

命令行

paranoia info sample.exe
paranoia functions sample.exe
paranoia disasm sample.exe --at main -n 40
paranoia pseudo sample.exe main
paranoia xrefs sample.exe CreateFileW
paranoia strings --referenced sample.exe --json
paranoia script sample.exe analyse.py      # run a Python script without the app
paranoia sigapply app.exe libc.sig         # IDA .sig or .pat signatures
paranoia mcp --root ./samples              # MCP server for AI agents

构建

你需要 Rust 1.82+ 和 Node.js 20+。

cargo build --release -p paranoia-engine -p paranoia-cli
cargo test --workspace

cd apps/desktop
npm ci
npm run app:dev     # app with hot reload
npm run dist        # Windows installer and portable exe in apps/desktop/out/

在 Windows 上，所有内容都使用 x86_64-pc-windows-gnu 工具链构建，无需 C 编译器。如果检出路径中包含空格并出现 dlltool 错误，请将 CARGO_TARGET_DIR 设置为不含空格的路径。

crates/paranoia-core     the engine: loaders, disassemblers, analysis, decompiler
crates/paranoia-engine   engine process for the desktop app, workspace store, debugger
crates/paranoia-cli      the `paranoia` command
crates/paranoia-db       workspace store (redb)
crates/paranoia-wasm     the engine as WebAssembly
apps/desktop             React UI and Electron shell

发送拉取请求前请参阅 CONTRIBUTING.md，各组件如何协同工作请参阅 docs/ARCHITECTURE.md。

许可证

Apache-2.0