DebuggerJ++

带 GUI 的调试器 / 反汇编器，用于对 32 位和 64 位可执行文件进行恶意软件分析，风格类似 OllyDbg / x64dbg。旨在以防御性目的剖析病毒和恶意软件：创建杀毒/反恶意软件特征、理解其行为并清理设备。

⚠️ 请始终在隔离的虚拟机 / 沙箱中分析样本，无网络连接，并带有快照。在调试器下启动二进制文件会执行其代码。

功能特性（v0.2）

• 打开 .exe / .dll / .sys 并完整解析 PE（32/64 位、入口点、 节区、导入、导出、熵）。
• CPU 窗口：代码反汇编（Zydis），高亮 call/jmp/ret、 跳转目标、jmp/jz/jnz 等的可视化流程引导线，以及暂停时的 当前指令。右键菜单 Jump To 可打开跳转目标。
• 断点：软件断点（0xCC）、硬件断点（DR0–DR3，执行/写入/读写）、 异常断点和通过 PAGE_GUARD 实现的内存断点（访问、写入或执行）。包括列表、 标签、启用/禁用、寄存器/命中次数条件、仅记录日志的动作以及 事件断点（线程/DLL）。内存断点需在暂停状态下配置，按页工作， 与 OllyDbg 使用的技术相同。
• 控制：Play（启动 / 继续）、Pause、Step Into（F7）、Step Over（F8）、 Step To Ret、Rewind（历史导航）、Stop 以及会话重启。
• 寄存器（x64：RAX..R15/RIP/EFLAGS；x86：EAX..EIP）在暂停时显示，可直接编辑。
• 内存：十六进制转储 + 区域映射（VirtualQueryEx），包含权限、类型和 模块；快速跳转到 RSP、读取/写入、使用 Keystone 汇编以及修补/NOP。
• 字符串与搜索：提取 ASCII/UTF-16 字符串，以及使用带通配符的十六进制 模式（48 8B ?? C3）或文本进行搜索，可在文件中或活动内存中搜索。
• 模块与符号：节区、PE 导入/导出、TLS 回调、x86 SEH 链、 运行时加载的 DLL、使用 DbgHelp 解析符号，以及存在 PDB 时的源文件/行号。
• 导航与跟踪：代码/数据引用、调用栈、run trace、 候选函数、持久化的 xrefs/循环/书签、注释（评论/标签） 以及跳转到某个地址或模块/DLL。 双击某个模块会在 CPU 中打开其代码。
• 分析缓存：字符串、加壳检测和注释保存在 debugger 旁边的 cache/ 中。重新打开文件时会复用，若文件 大小、修改日期或字符串最小长度发生变化则失效。
• 会话与报告：.dbgjsession 会话，包含注释和断点；可导出 包含目标、节区、检测结果、状态和断点的 Markdown 报告。
• 加壳器：基于签名检测（内置集合 + PEiD 风格的 signatures/userdb.txt） 以及熵 / 可疑节区启发式检测。
• 辅助脱壳：查找 OEP、memory-aligned 转储、IAT 解析与 实验性重建，以及用于受控分析的反反调试选项。
• 多智能体 AI 面板：Anthropic/Claude、ChatGPT/OpenAI、DeepSeek、Gemini、Grok、 Mistral、Groq、OpenRouter、Ollama 和 LM Studio。聊天可自动包含 寄存器、栈和当前反汇编。
• AI 工具：启用 Permitir control del debugger (tools) 后，智能体可以 查询或控制会话：打开/启动/重启、继续或暂停、单步执行、 读取内存和寄存器、反汇编、搜索、设置断点、导航到 DLL、 修补以及执行 debugger 暴露的其他操作。
• Code 窗口：利用反汇编、内存、符号和模块，将例程转换为 解释性 C++ 伪代码。这是用于分析的解释，并非对源代码的 逐字还原。
• MCP：兼容 MCP 工具的本地服务器，使外部智能体 可以控制 DebuggerJ++。参见 mcp/README.md。
• 可扩展插件：plugins/ 中的 JSON 清单和可选的 x64 原生 DLL 可为 UI 添加操作，并为 MCP 添加动态工具。DLL 仅在用户 明确启用该选项时才会加载，且必须是可信的。参见 docs/PLUGINS.md。
• 可配置界面：可分离面板、持久化可见性、平铺以及 OllyDbg/x64dbg 风格的自定义布局。

编译（Windows）

仅在使用 MSVC 的 Windows 上编译，因为它使用了 Windows Debug API、DbgHelp、Direct3D 11 和 WinHTTP。

1. 安装 Visual Studio 2022，包含 使用 C++ 的桌面开发、CMake 3.20+ 和 Git。

2. 双击 build.bat（或在 x64 Native Tools Command Prompt 中）：

   build.bat
   

   CMake 只会自动下载（FetchContent）Zydis、Dear ImGui 和 nlohmann/json。

3. 以管理员身份运行 build\Release\DebuggerJ++.exe（以便能够进行调试）。

快速使用

1. 文件 → 打开 .exe。CPU、节区、字符串以及加壳器扫描会被填充。
2. 在 EntryPoint 处设置断点（Breakpoints 面板）并点击 Play（启动）。
3. 进程会在加载器断点处停止；再次点击 Play 以到达 你的断点。从那里使用 Step Into / Step Over，检查 寄存器 和 内存，搜索字符串，并向 AI 代理询问有关 ASM 的问题。
4. 在 Window → Code 中，使用 使用 RIP 和 按 C++ 解释 来获取对当前 例程的解释。

AI 代理与 API 密钥

在 Tools → Options → AI 中配置代理。首次启动时会检测（如果存在） ANTHROPIC_API_KEY 和 OPENAI_API_KEY 环境变量；你也可以在某个代理的 表单中粘贴密钥。ChatGPT/OpenAI 以 ChatGPT (OpenAI) 预设的形式提供。

凭据仅保存在可执行文件旁的 ai_config.json 中，供应用程序本地使用。 不要将该文件或 .env 文件上传到仓库：它们已被 .gitignore 排除。

若要允许代理执行操作，请选择支持 function calling 的提供商/模型，并在 AI 窗口中启用 允许调试器控制（tools）。Code 窗口将代理限制为查询工具，以免改变进程。

架构

参见 docs/ARQUITECTURA.md。

许可证

DebuggerJ++ 在 GNU General Public License v3.0 或更高版本 （GPL-3.0-or-later）下分发。你可以根据这些条款使用、研究、修改和再分发它。 第三方依赖保留其各自的声明和许可证。

限制与后续改进

这是一个用于防御性分析的功能性基础。下一版本计划涉及的领域：

• 以规则/表达式形式为断点提供的高级条件。
• 附加到已在运行的进程、跟踪子进程以及更好的线程控制。
• 更完整的 PDB 符号、源信息，以及在没有帧指针时稳健的 stack walking。
• 完整的会话持久化、报告导出以及控制流图视图。
• 针对修改操作的额外校验，以及重建 IAT 方面的改进。