بناءً على التوقيع، يمكننا العثور على بعض ميزات DSL التي تجعل *dynmx* قويًا:
* تعريف تسلسلات استدعاء API بمسارات بديلة
* مطابقة أسماء دوال استدعاء API مع تعبيرات منتظمة
* مطابقة قيم الوسائط والإرجاع مع العديد من العوامل
* تخزين المتغيرات، على سبيل المثال لتتبع المقابض في تسلسل استدعاء API
* تعريف شرط الكشف مع العوامل المنطقية (`AND`، `OR`، `NOT`)

إذا قمنا بتشغيل *dynmx* مع التوقيع الموضح أعلاه مقابل دالة العينة `c0832b1008aa0fc828654f9762e37bda019080cbdd92bd2453a05cfb3b79abb3`، نحصل على الإخراج التالي الذي يشير إلى أنه تم اكتشاف التوقيع.```
$ python3 dynmx.py detect -i 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json -s process_hollow.yml


    |
  __|         _  _    _  _  _
 /  |  |   | / |/ |  / |/ |/ |  /\/
 \_/|_/ \_/|/  |  |_/  |  |  |_/ /\_/
          /|
          \|
            
 Ver. 0.5 (PoC), by 0x534a


[+] Parsing 1 function log(s)
[+] Loaded 1 dynmx signature(s)
[+] Starting detection process with 1 worker(s). This probably takes some time...

[+] Result
process_hollow	c0832b1008aa0fc828654f9762e37bda019080cbdd92bd2453a05cfb3b79abb3.txt

|

### Resources
لاستخراج موارد نظام التشغيل التي تم الوصول إليها من سجل دالة، يمكننا ببساطة تشغيل الأمر *dynmx* `resources` على سجل الدالة. يوضح أدناه مثال على المخرجات التفصيلية للعينة التي تحتوي على قيمة تجزئة SHA-256 `601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9`. هذا تقرير صندوق رمل CAPE وهو جزء من [Avast-CTU Public CAPEv2 Dataset](https://github.com/avast/avast-ctu-cape-dataset).```
$ python3 dynmx.py -f detail resources --input 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json


    |
  __|         _  _    _  _  _
 /  |  |   | / |/ |  / |/ |/ |  /\/
 \_/|_/ \_/|/  |  |_/  |  |  |_/ /\_/
          /|
          \|

 Ver. 0.5 (PoC), by 0x534a


[+] Parsing 1 function log(s)
[+] Processing function log(s) with the command 'resources'...

[+] Result
Function log: 601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json (/Users/sijansen/Documents/dev/dynmx_flogs/cape/Public_Avast_CTU_CAPEv2_Dataset_Full/extracted/601941f00b194587c9e57c5fabaf1ef11596179bea007df9bdcdaa10f162cac9.json)
	Process: 601941F00B194587C9E5.exe (PID: 2008)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\DevicePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\DisableImprovedZoneCheck (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Security_HKLM_only (READ)
	Process: 601941F00B194587C9E5.exe (PID: 1800)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			[...]
			C:\Users\comp\AppData\Local\vscmouse (READ)
			C:\Users\comp\AppData\Local\vscmouse\vscmouse.exe:Zone.Identifier (DELETE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			[...]
	Process: vscmouse.exe (PID: 900)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup\SourcePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\DevicePath (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\DisableImprovedZoneCheck (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings (READ)
			HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Security_HKLM_only (READ)
	Process: vscmouse.exe (PID: 3036)
		Filesystem:
			C:\Windows\SysWOW64\en-US\SETUPAPI.dll.mui (CREATE)
			API-MS-Win-Core-LocalRegistry-L1-1-0.dll (EXECUTE)
			C:\Windows\SysWOW64\ntdll.dll (READ)
			USER32.dll (EXECUTE)
			KERNEL32.dll (EXECUTE)
			C:\Windows\Globalization\Sorting\sortdefault.nls (CREATE)
			C:\ (READ)
			C:\Windows\System32\uxtheme.dll (EXECUTE)
			dwmapi.dll (EXECUTE)
			advapi32.dll (EXECUTE)
			shell32.dll (EXECUTE)
			C:\Users\comp\AppData\Local\vscmouse\vscmouse.exe (CREATE,READ)
			C:\Users\comp\AppData\Local\iproppass\iproppass.exe (DELETE)
			crypt32.dll (EXECUTE)
			urlmon.dll (EXECUTE)
			userenv.dll (EXECUTE)
			wininet.dll (EXECUTE)
			wtsapi32.dll (EXECUTE)
			CRYPTSP.dll (EXECUTE)
			CRYPTBASE.dll (EXECUTE)
			ole32.dll (EXECUTE)
			OLEAUT32.dll (EXECUTE)
			C:\Windows\SysWOW64\oleaut32.dll (EXECUTE)
			IPHLPAPI.DLL (EXECUTE)
			DHCPCSVC.DLL (EXECUTE)
			C:\Users\comp\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\ (CREATE)
			C:\Users\comp\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\rasphone.pbk (CREATE,READ)
		Registry:
			HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OLEAUT (READ)
			HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Setup (READ)
			[...]
		Network:
			24.151.31.150:465 (READ)
			http://24.151.31.150:465 (READ,WRITE)
			107.10.49.252:80 (READ)
			http://107.10.49.252:80 (READ,WRITE)

## التثبيت
لاستخدام البرنامج، يجب أن يكون Python 3.9 متاحًا على النظام المستهدف. بالإضافة إلى ذلك، يجب تثبيت حزم Python التالية:
* `anytree`,
* `lxml`,
* `pyparsing`,
* `PyYAML`,
* `six` و
* `stringcase`

لتثبيت الحزم، قم بتشغيل الأمر `pip3` الموضح أدناه. يُوصى باستخدام بيئة Python افتراضية بدلاً من تثبيت الحزم على مستوى النظام.```
pip3 install -r requirements.txt

بشكل عام، كما هو موضح في المخرجات، يمكن تعريف عدة معاملات لسطر الأوامر تتعلق بمعالجة السجلات، تنسيق المخرجات للنتائج أو المعالجة المتعددة. علاوة على ذلك، يجب اختيار أمر لتشغيل مهمة محددة. يرجى ملاحظة أن عدد العمال يؤثر فقط على الأوامر التي تستخدم المعالجة المتعددة. حالياً، هذه الأوامر هي `detect` و `convert`. 

تحتوي الأوامر على معاملات سطر أوامر محددة يمكن استكشافها بإعطاء المعامل `-h` للأمر، مثلاً لأمر `detect` كما هو موضح أدناه.```
$ python3 dynmx.py detect -h
usage: dynmx.py detect [-h] --sig SIG [SIG ...] --input INPUT [INPUT ...] [--recursive] [--json-result JSON_RESULT] [--runtime-result RUNTIME_RESULT] [--detect-all]

optional arguments:
  -h, --help            show this help message and exit
  --recursive, -r       Search for input files recursively
  --json-result JSON_RESULT
                        JSON formatted result file
  --runtime-result RUNTIME_RESULT
                        Runtime statistics file formatted in CSV
  --detect-all          Detect signature in all processes and do not stop after the first detection

required arguments:
  --sig SIG [SIG ...], -s SIG [SIG ...]
                        dynmx signature(s) to detect
  --input INPUT [INPUT ...], -i INPUT [INPUT ...]
                        Input files

|

مستوى التفاصيل في مخرجات النتيجة يمكن تحديده باستخدام معلمة سطر الأوامر `--output-format` والتي يمكن تعيينها إلى `overview` للحصول على نتيجة عالية المستوى أو إلى `detail` للحصول على نتيجة مفصلة. على سبيل المثال، إذا قمت بتعيين تنسيق المخرجات إلى `detail`، فإن نتائج الكشف المعروضة في وحدة التحكم ستحتوي على استدعاءات واجهة برمجة التطبيقات والموارد الدقيقة التي تسببت في الكشف. تنسيق المخرجات `overview` سيشير فقط إلى التوقيع الذي تم اكتشافه في أي سجل دالة.

## أسطر أوامر مثال
الكشف عن توقيع *dynmx* في سجل دالة باستخدام عملية عامل واحدة```
python3 dynmx.py -w 1 detect -i "flog.txt" -s dynmx_signature.yml

تحقق من التوقيع (فحوصات أساسية فقط للسلامة)```
python3 dynmx.py check -s dynmx_signature.yml

## استكشاف الأخطاء وإصلاحها
يرجى مراعاة أن هذه الأداة هي إثبات للمفهوم تم تطويره إلى جانب كتابة رسالة الماجستير. وبالتالي، فإن جودة الكود ليست دائمًا الأفضل وقد تكون هناك أخطاء وعلل. لقد حاولت جعل الأداة قوية قدر الإمكان في الإطار الزمني المحدد.

أفضل طريقة لاستكشاف الأخطاء وإصلاحها هي تمكين التسجيل (على وحدة التحكم و/أو إلى ملف سجل) وضبط مستوى السجل إلى `debug`. يجب أن تقوم معالجات الاستثناءات بكتابة أخطاء مفصلة إلى السجل مما يساعد في استكشاف الأخطاء وإصلاحها.