wstrace

أداة مراقبة أنظمة وواجهات برمجة تطبيقات Windows عالية الأداء وبدون برامج تشغيل، مكتوبة بلغة Rust.

بديل حديث لـ strace و Process Monitor في الوقت الفعلي لنظام Windows. مبني بلغة Rust الأصلية دون الحاجة إلى برامج تشغيل kernel، ويتميز بواجهة مستخدم طرفية (TUI) في الوقت الفعلي وبث غير مخزّن مؤقتًا للتشخيصات بدون واجهة رسومية.

---

التثبيت

سكربت PowerShell

powershell -ExecutionPolicy Bypass -File .\packaging\install.ps1

يقوم بتثبيت wstrace.exe في $HOME\.local\bin ويسجّل الدليل في متغير البيئة PATH الخاص بالمستخدم.

Windows Package Manager (Winget)

winget install gilnett.wstrace

Scoop

scoop install packaging/scoop/wstrace.json

Cargo (من المصدر)

cargo install --path .

ملف تنفيذي جاهز

قم بالترجمة مباشرة باستخدام سلسلة أدوات Rust:

cargo build --release

يقع الملف التنفيذي المستقل الناتج في target\release\wstrace.exe.

---

دليل الاستخدام

التحقق

تأكد من إمكانية الوصول إلى wstrace في الصدفة الحالية:

wstrace --version

---

وضع TUI التفاعلي

يشغّل التطبيق المستهدف مع جدول أحداث في الوقت الفعلي:

wstrace run <executable_path> [-- <arguments>...]

عناصر التحكم بلوحة مفاتيح TUI

المفتاح	الإجراء	الوصف
Ctrl+C	نسخ المحدد	ينسخ تفاصيل الحدث المميّز إلى حافظة Windows.
Ctrl+A	نسخ الكل	ينسخ جميع الأحداث المفلترة حاليًا إلى حافظة Windows.
Ctrl+E / Space	إيقاف / استئناف	يجمّد عرض الأحداث دون إسقاط البيانات الواردة.
Ctrl+X	مسح المخزن المؤقت	يفرّغ قائمة الأحداث الحالية من مخزن العرض.
Tab	تدوير الفئات	يفلتر الأحداث: ALL -> FILE -> REG -> NET -> PROC.
f	الإخفاقات فقط	يقتصر العرض على العمليات الفاشلة (مثل رفض الوصول، غير موجود).
Up / Down	التنقل	يحدد حدثًا للفحص المتعمق.
q / Esc	خروج	ينهي جلسة التتبع بشكل نظيف.

---

الارتباط بعملية قيد التشغيل

ارتبط بعملية موجودة عبر معرّف العملية (PID) أو اسم الملف التنفيذي دون إعادة تشغيلها:

# Attach by PID
wstrace attach -p <PID>

# Attach by process executable name
wstrace attach -n <process_name.exe>

---

تتبع العمليات الفرعية (-C / --children)

يتتبع العملية المستهدفة ويراقب بشكل تكراري جميع العمليات الفرعية التي تنشئها:

wstrace -C run <executable_path> [-- <arguments>...]

---

تصفية المسارات (--include و --exclude)

اعزل العمليات ذات الصلة أو اكتم ضجيج نظام التشغيل:

# Include only operations matching a substring
wstrace --include "<substring>" run <executable_path>

# Exclude operations matching a substring
wstrace --exclude "<substring>" run <executable_path>

---

وضع البث بدون واجهة (-m stream)

يكتب الأحداث المباشرة مباشرة إلى stdout مع رموز ألوان ANSI للتسجيل أو خطوط أنابيب CI/CD:

wstrace -m stream [-d <seconds>] run <executable_path>

---

تصدير JSON المنظم (--export-json)

يصدّر جميع أحداث الجلسة الملتقطة إلى ملف JSON منسّق عند الإنهاء:

wstrace --export-json <output_file.json> run <executable_path>

---

التصدير إلى الحافظة (--copy / --to-clipboard)

ينسخ تلقائيًا جميع أحداث الجلسة الملتقطة مباشرة إلى حافظة Windows عند الخروج:

wstrace --copy run <executable_path>

---

البنية والتوافق

• المحرك الأساسي: Rust (إصدار 2021)
• المثبّت والنشر: PowerShell (packaging/install.ps1)
• واجهة المستخدم الطرفية: Ratatui + Crossterm
• استقبال البيانات: واجهات Win32 API (ToolHelp32Snapshot، OpenProcess، VirtualQueryEx) و Event Tracing for Windows (ETW).
• البنى المستهدفة:
  • x86_64-pc-windows-msvc (Intel / AMD 64-bit)
  • aarch64-pc-windows-msvc (Qualcomm Snapdragon X / Windows on ARM)

---

الامتثال المؤسسي والحوكمة المؤسسية

صُمّم wstrace لتلبية المتطلبات المؤسسية الصارمة للنشر في بيئات المؤسسات عالية الأمان (الخدمات المصرفية، الدفاع، الرعاية الصحية، والبنية التحتية الحيوية):

1. صفر تسريب بيانات سحابية (معزول هوائيًا وسيادي)

wstrace يعمل بنسبة 100% دون اتصال ومستقل تمامًا. لا يحتفظ بأي خوادم بعيدة، ولا يبدأ أي قياس أو تحليلات، ولا ينفذ أي اتصالات شبكية صادرة. أي بيانات حساسة تُلاحظ أثناء التتبع المباشر (رموز API، مسارات الملفات، بيانات الاعتماد، محتويات الذاكرة) تبقى محصورة بشكل صارم في ذاكرة الوصول العشوائي المحلية ولا تغادر محطة العمل أبدًا.

2. صفر برامج تشغيل kernel (بصمة Ring-0 صفرية)

على عكس أدوات التتبع التقليدية التي تثبّت برامج تشغيل kernel .sys تابعة لجهات خارجية—مما يقدم مخاطر انهيار النظام (شاشة الموت الزرقاء / BSOD) وأسطح هجوم أبواب خلفية ring-0—يعمل wstrace بدون أي برامج تشغيل kernel. يعتمد حصريًا على تصحيح أخطاء Win32 غير التدخلي في وضع المستخدم وواجهات مستهلك ETW الأصلية لنواة Windows.

3. التحكم الصارم في الوصول المحلي وعزل الجلسات

تتبع البيانات محدود بشكل صارم بجلسة مستخدم Windows وحدود التحكم الإلزامي في النزاهة (MIC). لا يمكن لجلسات المستخدم غير المميزة الوصول إلى العمليات ذات النزاهة الأعلى أو فحصها دون رفع صلاحيات المسؤول الصريح، مع الالتزام الصارم بمبدأ أقل صلاحية.

4. التوافق التنظيمي والمعياري

• التوافق مع SOC 2 Type II و ISO/IEC 27001: سيادة بيانات كاملة، صفر خروج بيانات خارجي، وإثبات بناء قابل للتدقيق.
• الامتثال لـ GDPR (RGPD) و CCPA: بنية الخصوصية حسب التصميم. صفر جمع بيانات شخصية، أو تنميط، أو تتبع، أو تسويق.
• جاهزية قانون المرونة السيبرانية الأوروبي (CRA): سياسة إفصاح أمني موثقة (SECURITY.md)، فحص تلقائي لثغرات CVE عبر Dependabot، وجرد تدقيق تراخيص الطرف الثالث (THIRD_PARTY_LICENSES.md).
• الامتثال لقاعدة OWASP رقم 1: صفر أسرار مضمّنة، أو بيانات اعتماد، أو مفاتيح API خاصة عبر قاعدة الكود وسجل التحكم بالإصدارات.

---

الترخيص وحوكمة الملكية الفكرية

• ترخيص البرمجيات: مرخّص بموجب GNU General Public License v3.0 (GPL-3.0-or-later).
• اتفاقية ترخيص المساهم (CLA): جميع المساهمات الخارجية تخضع للشروط الموضحة في CONTRIBUTING.md، مما يضمن ملكية حقوق النشر الموحدة ويحمي حقوق الاستحواذ المؤسسي (M&A) والترخيص التجاري المزدوج.

---

شكر وتقدير واعتمادات الطرف الثالث

يفخر wstrace بالبناء على نظام Rust البيئي مفتوح المصدر ويشكر المكتبات الأساسية التالية:

• Ratatui (MIT) — محرك تخطيط وعرض واجهة المستخدم الطرفية الحديثة (TUI).
• Crossterm (MIT) — معالجة طرفية عبر الأنظمة والتحكم في الإدخال الخام.
• windows-sys (MIT / Apache-2.0) — ارتباطات واجهات Microsoft Win32 و Kernel ETW الرسمية.

للاطلاع على إشعارات التراخيص والشروط الكاملة، راجع THIRD_PARTY_LICENSES.md.

---

الدعم والرعاية

إذا وجدت wstrace مفيدًا لهندسة Windows أو التدقيق الأمني أو تصحيح أداء النظام، يمكنك دعم التطوير عبر GitHub Sponsors أو Ko-fi: