ForensicDbg：适用于 Windows x64/x86 的现代事后调试器

ForensicDbg 是一款适用于原生 Windows x64 和 x86 应用程序的现代事后调试器。它旨在通过将传统调试功能（如崩溃转储分析和实时（JIT）调试）与用于 AI 辅助分析的模型上下文协议（MCP）接口相结合，来缩短识别复杂错误所需的时间。

通过 MCP 进行 AI 驱动的崩溃分析

ForensicDbg 使用模型上下文协议（MCP）与 AI 工具集成，允许 LLM 执行自动化崩溃分析。通过提供通过 stdio 通信的 MCP 服务器，调试器会在数据到达 AI 之前对其进行解释和标记，从而降低令牌成本并提高 AI 结论的准确性。这种方法确保 LLM 花费更少的时间解析原始数据，而将更多时间用于识别崩溃的根本原因。

核心调试功能

ForensicDbg 提供了一套全面的工具，用于分析实时进程和崩溃转储：

转储和实时分析： 该工具支持调试 x86 和 x64 崩溃转储，并可附加到实时进程。
实时（JIT）调试： 用户可以将 ForensicDbg 设置为 JIT 调试器，以便在崩溃发生时立即捕获和分析崩溃。
符号和表达式支持： 调试器包含一个简单的 C++ 表达式求值器，并支持 SourceServer 和 SourceLink，以便更轻松地进行源代码级调试。
自动异常识别： 该工具会自动识别触发异常的线程、帧和指令，省去了初始分类中通常需要的手动工作。

高级内存和状态解释

为了处理原生 Windows 调试的复杂性，ForensicDbg 采用了多种自动化解释技术：

类型推导： 调试器根据类型在代码中的使用和引用来推导类型。
寄存器跟踪： 它跟踪寄存器值在反汇编中的流动，以维护状态上下文。
调用栈验证： 该工具验证调用栈，以移除可能导致“误导性”分析的误导性或损坏引用。
迷你转储重建： 它模拟映像加载器，以重建迷你转储中缺失的只读区域，从而提供比标准迷你转储通常提供的更多上下文。

用户界面和体验

该界面专为响应性和直观导航而构建。主要功能包括：

交互式进程空间： 用户可以通过单击任何内存地址来导航进程空间。
符号感知的内存区域： 内存区域使用符号名称和对象类型进行标记，并且对象以结构初始化格式显示。
同步面板： 所有面板在导航期间保持同步，以确保开发人员对进程状态保持一致的视图。
视觉辅助： 该工具具有彩色编码输出，并支持浅色和深色模式。

社区观点和比较

虽然 ForensicDbg 进入了一个由 WinDbg 等成熟工具主导的市场，但社区反馈既突出了机遇，也指出了改进的机会。一些用户指出，虽然 WinDbg 已经发展到包含时间旅行调试（TTD）和 JavaScript 脚本，但它仍然带有显著的遗留包袱。

虽然我确实很感激在工具方面有多种选择，但我不同意说 windbg 是过时的。作为一个花了很多时间在 windbg 上的人，我认为公平地说，他们确实在其中投入了很多精力……话虽如此，对于如此古老的软件来说，确实有很多包袱，而且肯定存在一些痛点。

其他用户建议，该项目当前的登陆页面和演示视频可以改进，以更好地突出 ForensicDbg 与现有行业标准不同的具体独特价值主张。