NtWARden

حزمة أدوات تحليل وأبحاث Windows

• أداة فحص لأنظمة Windows مبنية على ImGui + DirectX 11.
• تغطي العمليات والخدمات والشبكة وداخل نواة النظام والمزيد - محليًا أو عبر الشبكة من خلال WinSysServer.

⚠️ بعض أجزاء هذا المشروع كُتبت بأسلوب "vibe coding" بمساعدة الذكاء الاصطناعي، لذا قد تحتوي على بعض الأخطاء. يجب تثبيت برنامج تشغيل النواة (KWinSys) فقط في جهاز افتراضي مخصص للاختبار ولأغراض البحث.

لقطات الشاشة

العمليات (وضع Kernel)

العمليات (وضع المستخدم)	جلسات ETW	استدعاءات Kernel
تجمع Kernel	الرموز	الفلاتر

البنية

الميزات

وضع المستخدم (بدون الحاجة لبرنامج تشغيل)

وضع Kernel (يتطلب KWinSys)

تحليل عملية (النقر بزر الفأرة الأيمن > Analyze Process)

تحليل أمني لكل عملية، يمكن الوصول إليه من قائمة السياق الخاصة بالعملية.

البناء

المتطلبات: Visual Studio 2022، Windows SDK 10.0.26100.0+، WDK (من أجل KWinSys)

NtWarden.sln
├── NtWarden/          # GUI app
├── WinSys/            # Core library (static lib)
├── KWinSys/           # Kernel driver
└── WinSysServer/      # Remote server

1. افتح NtWarden.sln في Visual Studio
2. نفّذ البناء Release | x64
3. سيتم الإخراج إلى x64/Release/

إعداد برنامج التشغيل

يتطلب KWinSys توقيع اختبار أو توقيعًا صالحًا.

# Enable test signing (reboot required)
bcdedit /set testsigning on

# On VMs you may also need
bcdedit /set nointegritychecks on

شغّل NtWarden بصلاحيات Administrator. عند التبديل إلى تبويب وضع Kernel، سيتم تثبيت برنامج التشغيل وتشغيله تلقائيًا إذا لم يكن محمّلًا بالفعل. يمكنك أيضًا إدارته يدويًا من قائمة Driver.

الفحص عن بُعد

يعمل WinSysServer على جهاز هدف (غالبًا جهاز افتراضي) ويقدّم بيانات النظام عبر TCP. يمكنك الاتصال من NtWarden عبر Remote > Connect.

ما يجب نسخه إلى الجهاز الهدف

تعمل ميزات وضع المستخدم (العمليات، الخدمات، الشبكة) بدون برنامج التشغيل. أما تبويبات Kernel فتحتاج إلى تحميل KWinSys على الجهاز الهدف.

تشغيل الخادم

# Auto-install driver + start server (run elevated)
WinSysServer.exe --install              # default port 50002
WinSysServer.exe --install --port 9000  # custom port

# Or install the driver yourself first
sc create KWinSys type= kernel binPath= "C:\path\to\KWinSys.sys"
sc start KWinSys
WinSysServer.exe [--port <port>]        # default: 50002

الاتصال من NtWarden

1. شغّل NtWarden
2. Remote > أدخل عنوان IP والمنفذ > Connect

البروتوكول

بروتوكول ثنائي مخصص عبر TCP. ترويسة من 12 بايت (MessageType, DataSize, Status). لا توجد مصادقة - يُستخدم فقط في بيئات المختبر/الأجهزة الافتراضية المعزولة.

تم الاختبار على

• Windows 11 23H2 (Build 22631.6199)
• Windows 10 22H2 (Build 19045.2006)
• Windows 10 1703 (Build 15063.13)

الاعتمادات

• zodiacon - مصدر إلهام رئيسي للمشروع
• WinArk - مرجع لميزات وضع Kernel

الترخيص

MIT - انظر LICENSE.