MemProcFS: =============================== MemProcFS هي طريقة سهلة ومريحة لعرض الذاكرة الفعلية كملفات في نظام ملفات افتراضي. تحليل الذاكرة السهل والبسيط بالنقر دون الحاجة إلى وسائط سطر أوامر معقدة! يمكنك الوصول إلى محتوى الذاكرة والآثار عبر الملفات في نظام ملفات افتراضي مُثبَّت أو عبر مكتبة تطبيقات غنية بالميزات لتضمينها في مشاريعك الخاصة! حلّل ملفات تفريغ الذاكرة، <b>الذاكرة الحية</b> عبر DumpIt أو WinPMEM، <b>الذاكرة الحية في وضع القراءة والكتابة</b> من الأجهزة الافتراضية أو من أجهزة [PCILeech](https://github.com/ufrisk/pcileech/) [FPGA](https://github.com/ufrisk/pcileech-fpga/)! بل من الممكن الاتصال بوكيل استحواذ الذاكرة LeechAgent عن بُعد عبر اتصال آمن - مما يتيح الاستجابة لحوادث الذاكرة الحية عن بُعد - حتى عبر اتصالات ذات زمن استجابة أعلى وعرض نطاق منخفض! اطّلع على [الأجهزة الافتراضية مع MemProcFS](https://github.com/ufrisk/MemProcFS/wiki/VM)، أو [LiveCloudKd](https://github.com/ufrisk/LeechCore/wiki/Device_LiveCloudKd) أو [VMware](https://github.com/ufrisk/LeechCore/wiki/Device_VMWare)! استخدم أدواتك المفضلة لتحليل الذاكرة - استخدم محررات الـ hex المفضلة لديك، وسكربتات python و powershell الخاصة بك، أو WinDbg أو أدوات التفكيك والتنقيح المفضلة لديك - كلها ستعمل بسهولة مع MemProcFS بمجرد قراءة وكتابة الملفات! <p align="center"><img src="https://assets.kitploit.com/production/public/readmes/2830/a111e1c899f2551096ce422ed932f3525456af2bc6ffa2d5e6abac1fee1f8849.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/4ecebbb25e1d08180796de105a630a7760973a6f47f2403ef1a48644126de979.jpg" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/11e55ba5f11c9d1137246542e03037eb387b0d64d14314d6e775e5f80108b691.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/7b379ca3d99eb25b9c638181fa4f0d0bf4c53f8c1f0e9475b03346670eeaab42.png" height="190"/></p> ابدأ الآن! ============ اطّلع على الشرح السريع الممتاز من [13Cubed](https://www.13cubed.com/) للبدء! اطّلع أيضًا على محاضراتي الأقدم في المؤتمرات من Disobey و BlueHat. <p align="center"> <a href="https://youtu.be/hjWVUrf7Obk" alt="13Cubed: MemProcFS - This Changes Everything" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://youtu.be/mca3rLsHuTA?t=952" alt="Disobey 2020 talk - Live Memory Attacks and Forensics" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://www.youtube.com/watch?v=Da_9SV9FA34" alt="Microsoft BlueHatIL 2019 talk - Practical Uses for Hardware-assisted Memory Visualization" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a></p> للحصول على وثائق إضافية **اطّلع على [ويكي المشروع](https://github.com/ufrisk/MemProcFS/wiki)** للحصول على معلومات مفصلة متعمقة حول نظام الملفات نفسه وواجهة برمجة التطبيقات ووحدات الإضافات الخاصة به! للحصول على معلومات إضافية حول طرق استحواذ الذاكرة، اطّلع على **[مشروع LeechCore](https://github.com/ufrisk/LeechCore/)** أو انضم إلى خادم Discord الخاص بـ [PCILeech/MemProcFS](https://pcileech.com/discord)! للبدء، نزّل [أحدث الملفات الثنائية والوحدات وملفات التكوين](https://github.com/ufrisk/MemProcFS/releases/latest) واطّلع على [الدليل](https://github.com/ufrisk/MemProcFS/wiki)! التثبيت: =========== <b>احصل على أحدث [الملفات الثنائية والوحدات وملفات التكوين](https://github.com/ufrisk/MemProcFS/releases/latest) من أحدث إصدار.</b> بدلاً من ذلك، استنسخ المستودع وابنِ من المصدر. ## Windows يتطلب تثبيت نظام الملفات تثبيت <b>مكتبة نظام الملفات Dokany</b>. نزّل وثبّت أحدث إصدار من Dokany الإصدار 2 من: https://github.com/dokan-dev/dokany/releases/latest لالتقاط الذاكرة الحية (بدون أجهزة PCILeech FPGA)، نزّل [DumpIt](https://www.magnetforensics.com/resources/magnet-dumpit-for-windows) وابدأ MemProcFS عبر وضع DumpIt /LIVEKD. بدلاً من ذلك، احصل على WinPMEM بتنزيل أحدث [برنامج تشغيل WinPMEM](https://github.com/Velocidex/c-aff4/tree/master/tools/pmem/resources/winpmem) الموقّع وضعه بجانب MemProcFS - التعليمات المفصلة في [ويكي LeechCore](https://github.com/ufrisk/LeechCore/wiki/Device_WinPMEM). سيتطلب PCILeech FPGA أجهزة بالإضافة إلى إسقاط _FTD3XXWU.dll_ بجانب الملفات الثنائية لـ MemProcFS. يرجى الاطلاع على مشروع [LeechCore](https://github.com/ufrisk/LeechCore) للحصول على التعليمات. ## Linux من المفترض أن يعمل MemProcFS مباشرة على معظم توزيعات Linux مع تثبيت FUSE. إذا كنت تبني من المصدر، اطّلع على الدليل حول [MemProcFS على Linux](https://github.com/ufrisk/MemProcFS/wiki/_Linux). ## macOS نزّل أحدث إصدار من MemProcFS من [هنا](https://github.com/ufrisk/MemProcFS/releases/latest). يعتمد MemProcFS عند استخدامه كنظام ملفات افتراضي مُثبَّت على **macFuse** الذي يتطلب ملف .kext. نزّل وثبّت macFuse من [هنا](https://github.com/macfuse/macfuse/releases/latest). إذا تم استخدام MemProcFS عبر واجهات برمجة التطبيقات المدعومة C/C++/Rust، فلن يكون macFuse مطلوبًا. واجهات برمجة تطبيقات شاملة بـ Python و Rust و Java و Go و C# و C/C++: =============================== ضمّن MemProcFS في مشاريعك البرمجية بـ [C/C++](https://github.com/ufrisk/MemProcFS/wiki/API_C)، [C#](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp)، [Java](https://github.com/ufrisk/MemProcFS/wiki/API_Java)، [Go](https://github.com/TexHik620953/go-memprocfs/) (طرف ثالث)، [Python](https://github.com/ufrisk/MemProcFS/wiki/API_Python) أو [Rust](https://github.com/ufrisk/MemProcFS/wiki/API_Rust)! كل شيء في MemProcFS مكشوف عبر واجهة برمجة تطبيقات سهلة الاستخدام لاستخدامها في مشاريعك الخاصة! تتيح البنية الصديقة للإضافات للمستخدمين توسيع MemProcFS بسهولة باستخدام إضافات C/C++/Rust/Python! كل شيء في MemProcFS مكشوف كواجهات برمجة تطبيقات. توجد واجهات برمجة تطبيقات لكل من C/C++ `vmmdll.h`، و C# [حزمة nuget](https://www.nuget.org/packages/Vmmsharp/)، و Java، و Python [حزمة pip](https://pypi.org/project/memprocfs/) و Rust [crate](https://crates.io/crates/memprocfs). نظام الملفات نفسه متاح افتراضيًا عبر واجهة برمجة التطبيقات دون الحاجة إلى تثبيته. من الممكن قراءة كل من ذاكرة العملية الافتراضية والذاكرة الفعلية! يوضح المثال أدناه قراءة 0x20 بايت من العنوان الفعلي 0x1000: ``` >>> import memprocfs >>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw']) >>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) )) 0000 e9 4d 06 00 01 00 00 00 01 00 00 00 3f 00 18 10 .M..........?... 0010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ ``` MemProcFS متاح كحزمة Python pip ومن السهل دمجه في [Jupyter Notebooks](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter) الخاصة بك. أمثلة: ========= ابدأ MemProcFS من سطر الأوامر - ربما باستخدام أحد الأمثلة أدناه. أو سجّل امتداد ملف تفريغ الذاكرة مع MemProcFS.exe بحيث يتم تثبيت نظام الملفات تلقائيًا عند النقر المزدوج على ملف تفريغ الذاكرة! - ثبّت ملف تفريغ الذاكرة كـ M: الافتراضي <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw` - ثبّت ملف تفريغ الذاكرة كـ M: الافتراضي مع تفصيل إضافي: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -v` - ثبّت ملف تفريغ الذاكرة كـ M: الافتراضي وابدأ وضع التحليل الجنائي: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1` - ثبّت ملف تفريغ الذاكرة كـ M: الافتراضي وابدأ وضع التحليل الجنائي مع فحص yara: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar` - ثبّت ملف تفريغ الذاكرة كـ /home/pi/mnt/ على Linux: <br>`./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw` - ثبّت ملف تفريغ الذاكرة كـ S: <br>`memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw` - ثبّت ذاكرة الهدف الحية، في وضع القراءة فقط، مع برنامج تشغيل WinPMEM: <br>`memprocfs.exe -device pmem` - ثبّت ذاكرة الهدف الحية، في وضع القراءة/الكتابة، مع جهاز استحواذ الذاكرة PCILeech FPGA: <br>`memprocfs.exe -device fpga -memmap auto` - ثبّت تفريغ ذاكرة مع ملفات ترحيل مقابلة: <br>`memprocfs.exe -device unknown-x64-dump.raw -pagefile0 pagefile.sys -pagefile1 swapfile.sys` مجتمع PCILeech و MemProcFS: ========= هل تجد كل هذا مربكًا بعض الشيء؟ أو تريد فقط طرح سؤال سريع؟ انضم إلى خادم مجتمع PCILeech و MemProcFS DMA على Discord! <a href="https://pcileech.com/discord"><img src="https://assets.kitploit.com/production/public/readmes/2830/dd08fab787215b19b3e40b783ad638e783a82877e2327db7ccfd42e1454d1a94/1b0a45deb2d3a6f0b2933330f855a6c788343ce3e9f4a6df439c161a52dc460a-display-v1.webp"/></a> البناء: ========= <b>توجد [الملفات الثنائية والوحدات وملفات التكوين](https://github.com/ufrisk/MemProcFS/releases/latest) المُجمَّعة مسبقًا في أحدث إصدار.</b>. يتم بناء الملفات الثنائية لـ MemProcFS باستخدام Visual Studio 2022 و Ubuntu x64/AARCH64. يمكن العثور على تعليمات البناء المفصلة في [الويكي](https://github.com/ufrisk/MemProcFS/wiki) في قسم [البناء](https://github.com/ufrisk/MemProcFS/wiki/Dev_Building). الترخيص: ======== يتم إصدار الكود المصدري للمشروع تحت: GNU Affero General Public License v3.0. يتم إصدار بعض التبعيات والإضافات المضمّنة تحت GPLv3. يتم إصدار بعض الملفات الثنائية القابلة لإعادة التوزيع من Microsoft المضمّنة تحت تراخيص منفصلة. قد يكون الترخيص البديل ممكنًا عند الطلب. المساهمة: ============= PCILeech و MemProcFS و LeechCore مفتوحة المصدر ولكنها ليست مفتوحة للمساهمة. تقدم PCILeech و MemProcFS و LeechCore بنية إضافات مرنة للغاية ستسمح بالمساهمات في شكل إضافات. إذا كنت ترغب في تقديم مساهمة، بخلاف إضافة، إلى المشاريع الأساسية، يرجى الاتصال بي قبل البدء في التطوير. روابط: ====== * Twitter: [](https://twitter.com/intent/follow?screen_name=UlfFrisk) * Discord: [](https://pcileech.com/discord) * PCILeech: https://github.com/ufrisk/pcileech * PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga * LeechCore: https://github.com/ufrisk/LeechCore * MemProcFS: https://github.com/ufrisk/MemProcFS * Blog: http://blog.frizk.net روابط - مشاريع ذات صلة: ========================= * [MemProcFS-Analyzer](https://github.com/LETHAL-FORENSICS/MemProcFS-Analyzer/) هو تطبيق PowerShell من طرف ثالث يُستخدم لتبسيط استخدام MemProcFS وتحسين سير عمل تحليل الذاكرة الخاص بك. تتم صيانة MemProcFS-Analyzer بواسطة [@evild3ad](https://github.com/evild3ad) في [LETHAL-FORENSICS](https://github.com/LETHAL-FORENSICS). سجل التغييرات: =================== <details><summary>الإصدارات السابقة (انقر للتوسيع):</summary> v1.0 * الإصدار الأولي. v1.1-v4.9 * تحديثات متنوعة. يرجى الاطلاع على الإصدارات الفردية لمزيد من المعلومات. v5.0 * إصدار رئيسي مع ميزات جديدة لدعم مهام التحليل المتوازية. * تغييرات كاسرة في واجهة برمجة التطبيقات وتحديثات رئيسية. * قدرات تحليل جنائي موسّعة ودعم [ملفات CSV](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_CSV). * دعم إضافات Linux. * [واجهة برمجة تطبيقات Java](https://github.com/ufrisk/MemProcFS/wiki/API_Java) جديدة. v5.1 * دعم Windows 11 22H2. * عروض النص والثنائي فقط في '/misc/view/'. v5.2 * إصلاحات الأخطاء. * [دعم الأجهزة الافتراضية](https://github.com/ufrisk/MemProcFS/wiki/VM). * [دعم ARM64 Windows](https://github.com/ufrisk/MemProcFS/wiki/_ARM64). * تحسينات أداء FPGA. * معلومات شجرة الأجهزة في /sys/drivers. * إضافات ميزات Linux: memcompress و token. * التنزيل اليدوي لرموز التصحيح (PDBs) على الأنظمة غير المتصلة بالإنترنت (Windows فقط). v5.3 * إصلاحات الأخطاء وتحسينات الأداء. * دوال PE المُمرَّرة. * معلومات إصدار PE. * وضع الدفعات MemProcFS Python. * دعم إضافات Linux Python. * دعم Hyper-V Container/Sandbox. * دعم Windows Hypervisor Platform (VMware و VirtualBox على Hyper-V). v5.4 * دعم واجهة برمجة تطبيقات Rust. * دعم رموز التصحيح عند التشغيل على Linux. v5.5 * [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil): اكتشافات جديدة قائمة على الخيوط. Findevil الآن لوضع التحليل الجنائي فقط. * [مثال Jupyter Notebook](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter) * دعم Yara في [وضع التحليل الجنائي](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Yara) و[البحث](https://github.com/ufrisk/MemProcFS/wiki/FS_YaraSearch). v5.6 * إصلاحات الأخطاء وتحسينات الأداء وتحديثات طفيفة. * إضافة [files](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files) في وضع التحليل الجنائي - تُظهر الملفات ذات المحتويات القابلة للاسترداد. * قواعد yara مدمجة لـ [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil) في وضع التحليل الجنائي من [Elastic Security](https://github.com/elastic/protections-artifacts).<br>فعّلها بقبول ترخيص Elastic 2.0 عبر خيار بدء التشغيل [`-license-accept-elastic-license-2.0`](https://github.com/ufrisk/MemProcFS/wiki/_CommandLine#-license-accept-elastic-license-2.0). v5.7 * إصلاحات الأخطاء. * تحديثات واجهة برمجة تطبيقات Rust. * اكتشافات FindEvil Yara جديدة. * فحوصات Yara لكائنات الملفات (زيادة فرصة اكتشاف برامج التشغيل الضعيفة بواسطة FindEvil). * تحسين أداء FPGA للقراءات الأصغر. * تحسين [MemProcFS remoting](https://github.com/ufrisk/MemProcFS/wiki/_Remoting) عبر [LeechAgent](https://github.com/ufrisk/LeechCore/wiki/LeechAgent) عن بُعد. دعم كامل لـ MemProcFS عن بُعد عبر SMB - tcp/445. مثالي للاستجابة لحوادث التحليل الجنائي للذاكرة (IR)! v5.8 * تحديثات LeechCore API لـ C/C++ و C# و Rust و Python و Java. * دعم تحليل ذاكرة ARM64 Windows. [v5.9](https://github.com/ufrisk/MemProcFS/releases/tag/v5.9) * إصلاحات الأخطاء. * تحسينات الوحدات: ntfs، procinfo، web. * واجهة برمجة تطبيقات C#: تحسينات. * واجهة برمجة تطبيقات Java: دعم java.lang.foreign (JDK21+) للوصول الفعّال إلى الذاكرة. * تحسينات أداء Linux PCIe FPGA. * FindEvil: تُعرض الآن قواعد Yara المُفعَّلة. * FindEvil: اكتشافات مكافحة الفيروسات من Windows Defender الموجود على النظام المُحلَّل. * واجهة برمجة تطبيقات Python: وظائف جديدة (multi-read، type-read) وأداء محسّن للقراءة المتناثرة. * دعم ملفات تفريغ ذاكرة Proxmox. [v5.10](https://github.com/ufrisk/MemProcFS/releases/tag/v5.10) * دعم إصدار Windows 11 24H2. * إصلاحات الأخطاء. * إضافة كائنات _SECTION المُسمّاة إلى خريطة VAD. * تحسينات `-memmap auto`. * دعم ملف الإسبات. * FindEvil: اكتشاف UM APC. شكرًا [@thejanit0r](https://github.com/thejanit0r) على المساهمة. * [وحدة Sysinfo](https://github.com/ufrisk/MemProcFS/wiki/FS_Sys_Sysinfo) للحصول على معلومات النظام سهلة القراءة. * [وحدة Eventlog](https://github.com/ufrisk/MemProcFS/wiki/FS_Misc_Eventlog) للوصول المريح إلى ملفات سجل الأحداث. * تسمح واجهة برمجة تطبيقات البحث الثنائي الآن بما يصل إلى 16 مليون مصطلح بحث (مقارنة بـ 16 سابقًا). * تحليل Prefetch. [v5.11](https://github.com/ufrisk/MemProcFS/releases/tag/v5.11) * إصلاحات الأخطاء. * [واجهة برمجة تطبيقات Vmmsharp C# الجديدة](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp). [v5.12](https://github.com/ufrisk/MemProcFS/releases/tag/v5.12) * إصلاحات الأخطاء. * تحديثات (FindEvil، توقيعات جديدة، إلخ). * واجهات برمجة تطبيقات جديدة لكائنات Kernel وبرامج التشغيل والأجهزة. [v5.13](https://github.com/ufrisk/MemProcFS/releases/tag/v5.13) * إصلاحات الأخطاء. * إضافة [وحدة console](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Console) الجديدة. * تحسينات استرداد الملفات (أحجام الملفات، معلومات التوقيع) لـ [وحدة files](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files). * وظائف واجهة برمجة تطبيقات استدعاء الذاكرة (C/C++ API فقط). * [تحليل Callstack](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Threads) لمكدسات استدعاء العمليات في وضع المستخدم x64. [v5.14](https://github.com/ufrisk/MemProcFS/releases/tag/v5.14) * إصلاحات الأخطاء. * دعم تجميع Linux clang. * دعم macOS. [v5.15](https://github.com/ufrisk/MemProcFS/releases/tag/v5.15) * إصلاحات الأخطاء. * دعم Linux LeechAgent باستخدام gRPC (LeechCore v2.21). * اكتشاف FindEvil جديد: High Entropy. * [تحليل ذاكرة DNS المؤقتة](https://github.com/ufrisk/MemProcFS/wiki/FS_SysInfo_Network). شكرًا [@MattCore71](https://github.com/MattCore71) على المساهمة. [v5.16](https://github.com/ufrisk/MemProcFS/releases/tag/v5.16) * إصلاحات الأخطاء. * دعم Windows 11 25H2 </details> [v5.17](https://github.com/ufrisk/MemProcFS/releases/tag/v5.17) * دعم Windows 11 26H1. * تحسين تحليل السجل. * خيارات تحديث جديدة في واجهة برمجة التطبيقات. * استدعاء تسجيل اختياري جديد في واجهة برمجة التطبيقات. * دعم الأحرف غير ASCII في مسارات الملفات. [v5.18](https://github.com/ufrisk/MemProcFS/releases/tag/v5.18) * إصلاحات الأخطاء. * وحدة جديدة: محلل Windows Terminal (Win11+). * وحدة جنائية جديدة: محلل amcache (Win10+). * تم تعديل الحد الأعلى لخريطة PTE من 65536 إلى 131072. * إصلاح: كتابة الملفات في MemProcFS المُثبَّت على WSL (drvfs) تعمل الآن. [v5.19](https://github.com/ufrisk/MemProcFS/releases/tag/v5.19) * دعم Windows 11 26H2. * إصلاحات الأخطاء. * إصلاح: استرداد Heap يعمل الآن على Windows 11 24H2 وما بعده. * إصلاح: تحسين تحليل Pool و Heap. * إصلاح: تحسين معدلات استرداد الذاكرة المضغوطة. * وحدة جديدة: /sys/eventlog (استرداد سجل أحداث Windows). * وحدة جديدة: /sys/proc/cpu - استخدام CPU للعملية، الحالي والإجمالي. * وظيفة API جديدة: VMMDLL_MemVirtualQuery. * وظيفة API جديدة: VMMDLL_WinReg_QueryNameOriginalU.
