ذلك البناء التطويري يربط libc ديناميكيًا؛ لإعادة إنتاج الثنائي الثابت بالكامل الخاص بالإصدار محليًا، أضف هدف musl: `rustup target add x86_64-unknown-linux-musl && cargo build --release --target x86_64-unknown-linux-musl`.```bash
# Inspect any dump — format, ranges, embedded metadata (no symbols needed)
mem4n6 info win10.mem

# Windows process tree. The ISF is resolved from the kernel's own PDB GUID;
# raw .mem dumps take the page-table base via --cr3 (crash dumps carry their own).
mem4n6 ps --symbols ntkrnlmp.json --cr3 0x1ad000 --tree win10.mem

# Linux process tree from a LiME capture
mem4n6 ps --symbols linux.json --tree memdump.lime

# Air-gapped lab? Never touch the network for symbols:
mem4n6 ps --symbols ntkrnlmp.json --offline win10.mem

---

## مرجع سريع```bash
# Show dump format and physical memory ranges
mem4n6 info memdump.dmp

# Process tree with threads and DLLs
mem4n6 ps --symbols ntkrnlmp.json --tree --threads --dlls memdump.dmp

# Network connections (json / csv / table)
mem4n6 net --symbols ntkrnlmp.json --output json memdump.dmp

# Kernel integrity checks (SSDT, IDT, callbacks, hooks)
mem4n6 check --symbols ntkrnlmp.json --ssdt --callbacks memdump.dmp

# Linux syscall hook and malfind scan
mem4n6 check --symbols linux.json --hooks --malfind memdump.lime

# String extraction with YARA rules
mem4n6 strings --rules ./yara-rules/ --min-length 8 memdump.dmp

# Hash lookup against NSRL (known-good) and MalwareBazaar (known-bad)
mem4n6 hash --lookup memdump.dmp

# Extract framebuffer screenshot from live memory dump
mem4n6 framebuf --symbols linux.json --png screen.png memdump.dmp

# Recover files from tmpfs mounts + detect memfd fileless ELF execution
mem4n6 check --symbols linux.json --tmpfs-recovery --memfd memdump.lime

# Detect EDR bypass: direct syscalls, ETW patching, AMSI/DSE bypass
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls --etw-patch --amsi-bypass memdump.dmp

# Novel kernel interface abuse: io_uring, netfilter hooks, perf_event
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

# Cross-artifact ATT&CK correlation across all walkers
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp

The input content for chunk 11 is missing (the INPUT section is empty). Please provide the actual markdown text for chunk 11 so I can translate it into Arabic.```
[HOOK]  sys_call_table[59]  execve  → 0xffffffffc0a2f3d0  (outside kernel text)
[HOOK]  ftrace_ops[0]  target: vfs_read  → 0xffffffffc0a2f410  (module: libymv_ko)
[HOOK]  security_inode_getattr  → 0xffffffffc0a2f450  (LSM hook patched)

لم يتم توفير أي محتوى في قسم INPUT لترجمته. يرجى إرسال النص المطلوب ترجمته.```
[ROOTKIT] /tmp/.x/libhider.so  signals=[elf.hooks.process_hiding, elf.hooks.pam_credential_theft]
  exports: readdir64, getdents64, pam_get_item, pam_authenticate
  MITRE: T1014 (Rootkit), T1556.003 (Modify Authentication Process)
  loaded in 100% of processes (23/23)

[ROOTKIT] /tmp/.x/libhider.so  .rodata match: "UID:%d:" (Father PAM hook format string, weight=90)

I need to translate the content, but the provided input after "INPUT:" is empty. There is no text to translate. Per the rules, I return only the translated content, which in this case is nothing.```
[DPAPI] GUID={A1B2C3D4-...}  blob_len=680  source=lsass.exe
[COOKIE] msedge.exe  domain=.github.com  name=user_session  value=secretvalue...
[COOKIE] chrome.exe  (v10-encrypted)  — key material required for decryption

يستخرج إطار التخزين المؤقت (framebuffer) من تفريغ ذاكرة حي أو من وضع الإسبات ويكتبه بصيغة PNG. يعمل على كل من لينكس (ماسح `drm_framebuffer` في DRM/KMS) وويندوز (إطار جلسة عبر فحص تجمع `win32k`). مفيد لالتقاط حالة الشاشة في لحظة الاقتناء دون تشغيل الصورة.

---

## استعادة الملفات التي لم تلمس القرص

المهاجمون الذين يستخدمون tmpfs أو `memfd_create(2)` لا يتركون أي آثار لنظام الملفات — فالثنائي موجود في ذاكرة الوصول العشوائي فقط.```bash
# Recover inodes and file content from Linux tmpfs/ramfs mounts
mem4n6 check --symbols linux.json --tmpfs-recovery memdump.lime

# Detect ELF binaries running from anonymous memfd file descriptors
mem4n6 check --symbols linux.json --memfd memdump.lime

استرداد tmpfs يجتاز جدول `vfsmount` في النواة ويعيد بناء محتوى inode من صفحات page-cache. ويجتاز كشف memfd جدول واصفات الملفات المفتوحة لكل عملية ويضع علامات على inodes مجهولة الهوية تم إنشاؤها باستخدام `memfd_create(2)`.

---

## اكتشاف مراوغة EDR وقمع السجلات

تقوم الأدوات الهجومية الحديثة بترقيع أدوات الفحص الأمني في Windows في الذاكرة لتجنب الاكتشاف دون لمس القرص.```bash
# Direct syscalls — Syswhispers/Hell's Gate bypass Win32 API entirely
mem4n6 check --symbols ntkrnlmp.json --direct-syscalls memdump.dmp

# ETW patching — log suppression via ret/xor at ETW write functions
mem4n6 check --symbols ntkrnlmp.json --etw-patch memdump.dmp

# AMSI bypass — script-scanning suppression via amsi.dll patch
mem4n6 check --symbols ntkrnlmp.json --amsi-bypass memdump.dmp

# DSE bypass — Driver Signature Enforcement disabled for unsigned drivers
mem4n6 check --symbols ntkrnlmp.json --dse-bypass memdump.dmp

---

## إساءة استخدام واجهة نواة لينكس الحديثة

بعيدًا عن خطافات استدعاءات النظام الكلاسيكية، تسيء الروتكيتات الحديثة استخدام أنظمة فرعية أحدث للنواة. يغطي `memory-forensic` جميع الأنواع الثلاثة:```bash
mem4n6 check --symbols linux.json --io-uring --netfilter --perf-event memdump.lime

## مؤشرات الهروب من الحاوية```bash
mem4n6 check --symbols linux.json --container-escape memdump.lime

يتنقّل عبر مساحات أسماء user وmount وPID وnet وcgroup لكل عملية، ويعلّم العمليات التي يجب أن تكون معزولة لكنها تشارك مساحات أسماء على مستوى المضيف — وهي البصمة البنيوية للهروب من الحاوية بغض النظر عن طريقة تحقيقه.

---

## الربط عبر القطع الأثرية مع ATT&CK

`memf-correlate` يجمع نتائج جميع أدوات المسح في خط زمني، ويقيّم الشذوذات حسب الخطورة، ويربط كلًا منها بتقنيات MITRE ATT&CK دون تشغيل أدوات المسح واحدة تلو الأخرى:```bash
mem4n6 correlate --symbols ntkrnlmp.json --output json memdump.dmp > findings.json

يتم ربط نتائج ماسحات العمليات والشبكة والوحدات والخطافات والاعتمادات حسب العملية والوقت قبل التقييم — مما ينتج نتائج موسومة بـ ATT&CK بدلاً من مخرجات لكل ماسح يتعين على المحلل ضمّها يدويًا.

---

## تنسيقات الذاكرة المدعومة

| التنسيق | المصدر | اكتشاف تلقائي |
|---|---|---|
| LiME (`.lime`) | وحدة نواة لينكس | نعم |
| AVML v2 | Azure AVML | نعم |
| ELF Core | QEMU، `gcore` | نعم |
| Windows Crash Dump (`.dmp`) | DumpIt، WinDbg | نعم |
| Hiberfil.sys | الإسبات / بدء التشغيل السريع في ويندوز | نعم |
| VMware State (`.vmss`, `.vmsn`) | VMware Workstation / ESXi | نعم |
| kdump / diskdump | `makedumpfile` | نعم |
| Raw / flat | أي وسيلة احتياطية | نعم |

يتم اكتشاف التنسيق من ترويسات الملفات — لا حاجة لأي خيارات.

---

## ما المختلف

أقرب البدائل هي **Volatility 3** (Python، بنية إضافات)، **MemProcFS** (C مع روابط Rust، موجه أساسًا لويندوز)، **Rekall** (Python، توقف صيانته)، و**MemNixFS** (C++، تفريغات لينكس تُركَّب كنظام ملفات). تعكس المقارنة أدناه النواة الرسمية لكل أداة ومستودع الإضافات المعروف. يستهدف MemNixFS صور *لينكس* بواجهة مستخدم كنظام ملفات، لذلك يشارك mem4n6 في استعادة ملفات ذاكرة التخزين المؤقت للصفحات، لكنه `n/a` في صفوف التوصيف الذاتي لويندوز وتجاوز EDR.

### التكافؤ — قدرات مشتركة مع الأدوات الناضجة

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| ماسحات نواة لينكس وويندوز | ✅ | ✅ | ويندوز أولًا | لينكس فقط | ✅ |
| تعداد العمليات والوحدات والشبكة | ✅ | ✅ | ✅ | ✅ | ✅ |
| كشف الذاكرة المحقونة | ✅ | ✅ | ✅ | ✅ | ✅ |
| متوافق مع حزم رموز ISF | ✅ | ✅ | — | ✅ | — |
| يعمل على لينكس / ماك | ✅ | ✅ | جزئي | لينكس + ويندوز | ✅ |
| مُصان بنشاط | ✅ | ✅ | ✅ | ✅ | — |
| مجاني ومفتوح المصدر | ✅ | ✅ | ✅ | بدون ترخيص | ✅ |

### قدرات غائبة عن التوزيعات الرسمية للأدوات الأخرى

| | memory-forensic | Volatility 3 | MemProcFS | MemNixFS | Rekall |
|--|:-:|:-:|:-:|:-:|:-:|
| مكوّن ثابت واحد — بدون Python أو بيئة تشغيل | ✅ | — | — | جزئي | — |
| واجهة برمجة مكتبة للتضمين في أدوات Rust | ✅ | — | ✅ | — | — |
| بصمة روتكيت السلوكية لـ ELF | ✅ | — | — | — | — |
| استعادة ملفات tmpfs / ramfs | ✅ | — | — | ✅ | — |
| كشف التنفيذ بدون ملفات عبر memfd | ✅ | — | — | — | — |
| كشف استدعاءات النظام المباشرة / تجاوز EDR | ✅ | plugin? | — | n/a | — |
| كشف تجاوز ETW / AMSI / DSE | ✅ | plugin? | — | n/a | — |
| إساءة استخدام io_uring / netfilter / perf\_event | ✅ | — | — | — | — |
| مؤشرات الهروب من الحاويات | ✅ | — | — | — | — |
| استخراج مفاتيح DPAPI وكوكيز كروم | ✅ | plugin? | — | n/a | — |
| أدلة وصول مجلدات Shellbags من الذاكرة ‡ | ✅ | — | — | n/a | — |
| لقطة شاشة من فريمبفر | ✅ | plugin? | — | — | — |
| ربط ATT&CK عبر الأرتيفاكتات | ✅ | — | — | — | — |
| إخراج آمن — RFC 4180، حماية من حقن الصيغ، وإزالة الأحرف ثنائية الاتجاه | ✅ | — | — | — | — |

> **`plugin?`** — قد توجد هذه القدرة في النظام البيئي لمجتمع Volatility 3 ولكنها غائبة عن النواة الرسمية ومستودع الإضافات وقت كتابة هذا. تحقق قبل الاستنتاج.
>
> **‡ Shellbags من الذاكرة** — استعادت Volatility 2 الـ Shellbags من ذاكرة الوصول العشوائي (إضافة المجتمع `shellbags`، Kovar ثم Lo)؛ ولم تعِد Volatility 3 نقلها، لذا تراجعت استعادة الـ Shellbags من الذاكرة فقط خلال الانتقال من vol2 إلى vol3. تمر mem4n6 مباشرة عبر `Shell\BagMRU` في خلية `UsrClass.dat`/`NTUSER.DAT` الموجودة في الذاكرة — لاستعادة القدرة من عصر vol2 في حالة الذاكرة فقط (بدون الحصول على قرص)، أو لتأكيد الخلية الموجودة على القرص. الطريق المعتاد عندما يكون القرص *متاحًا* هو تركيب الصورة وتشغيل SBECmd / RegRipper على ملف الخلية؛ وتدمج مشية الذاكرة الخطوة المزدوجة المتمثلة في تفريغ الخلية ثم تحليلها في خطوة واحدة. التحقق من **المستوى 2**: أرضية حقيقية مستمدة من `regipy` على الخلية المستخرجة من `citadeldc01.mem` — لا يوجد مفتاح إجابة من طرف ثالث منشور لحالة Szechuan، لذا فهذا دليل ذاتي مشتق (أداة حقيقية + صورة حقيقية)، وليس مفتاحًا من طرف ثالث.

---

## ثق ولكن تحقق

أداة تعالج صور ذاكرة **غير موثوقة ويمكن للمهاجم التحكم فيها** يجب أن ترفض الكذب وترفض الانهيار. صُممت mem4n6 وفق هذا المعيار:

- **خالٍ من الانهيار عبر الفحص البرمجي عند الإدخال العدائي.** تمنع مسارات التحليل `unwrap`/`expect`/`panic!` والفهرسة غير المفحوصة (`clippy::unwrap_used`/`expect_used` = deny)؛ كل قراءة لطول أو إزاحة أو مؤشر تُفحص حدودها وتتدهور بأمان — قائمة العمليات الملطخة تُرجع ما وجدته ولا توقف التنفيذ. (واجهات البناء تتعرض للانهيار عند خطأ مبرمج — حقل مطلوب مفقود — بحكم التصميم، وليس أبدًا بسبب محتوى التفريغ).
- **آمنة على الذاكرة افتراضيًا.** `unsafe_code = "deny"` على مستوى مساحة العمل بأكملها؛ الاستخدام الوحيد لـ `unsafe` هو تعيينات ملفات `memmap2` المقيّدة (التفريغ، ملف الصفحة، وقاعدة بيانات الهاش المعروفة)، وقد تم تبرير كل منها على حدة — وبالتالي شارة *مقيّد (mmap فقط)* بدلاً من *محظور*.
- **تم التحقق منه مقابل مرجع مستقل، وليس فقط تجهيزاتنا الخاصة.** تتم مقارنة ماسح عمليات ويندوز مع Volatility 3 على صورة Win10 حقيقية بحجم 2 جيجابايت — تطابق تام في كل عملية مشتركة، ولا نتائج إيجابية كاذبة ([`docs/validation.md`](https://github.com/securityronin/memory-forensic/blob/HEAD/docs/validation.md)).
- **إخراج آمن.** كل قناة (جدول/CSV/JSON) تطبق اقتباس RFC 4180، وحماية من حقن الصيغ في الجداول، وإزالة الأحرف ثنائية الاتجاه/أحرف التحكم قبل وصول السلاسل التي يتحكم فيها المهاجم إلى طرفيتك أو خط الأنابيب.

## استخدام المكتبة```rust
use mem4n6_format::open;
use mem4n6_core::vas::{TranslationMode, VirtualAddressSpace};
use mem4n6_core::object_reader::ObjectReader;
use mem4n6_symbols::isf::IsfResolver;

// Open any supported format — detected from file headers
let dump = open("memdump.dmp")?;
let symbols = IsfResolver::from_file("ntkrnlmp.json")?;

// Walk the x86_64 4-level page table
let vas = VirtualAddressSpace::new(dump.clone(), TranslationMode::X64, cr3);
let reader = ObjectReader::new(vas, Box::new(symbols));

// Walk EPROCESS list
for proc in reader.eprocess_list()? {
    println!("{} (PID {})", proc.image_name()?, proc.pid()?);
}