PETriage

أداة تحليل سطحي سريعة ومتعددة المنصات لملفات PE (القابلة للتنفيذ المحمولة) لفرز البرامج الضارة، مكتوبة بلغة Rust. مصممة للمحللين الذين يحتاجون إلى فرز عملي لـ PE على Linux وmacOS وWindows دون الاعتماد على سير عمل يعتمد على Windows فقط.

كانت تُسمى سابقًا readpe (أعيدت تسميتها لتجنب تضارب الأسماء مع الأدوات الموجودة).

المفهوم

• ثابت فقط -- لا يتم تحميل PE أو تنفيذه مطلقًا. آمن لفرز البرامج الضارة.
• واجهة CLI أولاً -- سير عمل افتراضي خفيف مناسب للتحليل الدفعي والأتمتة.
• قابل للتكوين -- إخراج JSON/NDJSON للتوجيه إلى jq وأنظمة SIEM وخطوط الأنابيب البرمجية.
• غير متصل -- لا توجد استدعاءات شبكة. مناسب للبيئات المعزولة تمامًا.

الواجهات

التثبيت السريع

بناء CLI الافتراضي:

cargo install petriage

للبناء مع واجهتي TUI وGUI، قم بالبناء من المصدر باستخدام أعلام الميزات.

أو البناء من المصدر:

git clone https://github.com/uky007/petriage.git
cd petriage
cargo build --release

انظر docs/installation.md لمعرفة تبعيات البناء لواجهتي GUI وTUI والترجمة المتقاطعة.

الاستخدام السريع

petriage <file.exe>              # Surface analysis (all except strings)
petriage <file.exe> -a           # All information including strings
petriage <file.exe> -H           # Headers only
petriage <file.exe> -i           # Imports only
petriage <file.exe> --hashes     # File hashes only
petriage <file.exe> --json       # JSON output
petriage --batch <dir> --ndjson  # Batch-analyze all PEs in a directory
petriage <file.exe> --fail-on warning  # Exit code 3 if anomalies meet the selected threshold
petriage <file.exe> --strip-overlay stripped.exe  # Save PE without overlay
petriage <file.exe> --carve-overlay overlay.bin   # Extract overlay data

petriage -x <file.exe>           # TUI hex viewer
petriage-gui                     # GUI (file dialog)
petriage-gui <file.exe>          # GUI (open file directly)

انظر docs/usage.md للحصول على خيارات CLI الكاملة، ووصفات jq، وتفاصيل TUI/GUI، وأمثلة الإخراج.

الميزات الرئيسية

• 25 قاعدة شذوذ -- التعبئة، حقن الكود، التلاعب بالطوابع الزمنية، شذوذ هيكلي، تسريبات OPSEC، التلاعب بـ Rich Header، شذوذ دليل التصدير
• تحليل OPSEC -- مسارات PDB، أنماط البيانات الاعتبارية، كشف نقاط النهاية، تلميحات مسارات CI/CD، تسريب أسماء المستخدمين من مسار المصدر
• بصمة البناء -- كشف .NET / Go / Rust / MSVC / MinGW مع تحديد أداة التعبئة (UPX, Themida, VMProtect, NSIS، إلخ.)
• استخراج/إزالة التراكب -- استخراج بيانات التراكب أو حفظ PE بدون تراكب (CLI وGUI)
• تحليل دليل التصدير -- اسم DLL، الطابع الزمني، عدد الدوال مع كشف الطابع الزمني الشاذ
• تحرير الرأس الدلالي (واجهة GUI) -- قوائم منسدلة لـ Machine/Subsystem، طوابع زمنية قابلة للقراءة البشرية، مربعات اختيار لعلم DllCharacteristics
• تمييز الأقسام غير القياسية -- تمييز باللون الأصفر لأسماء الأقسام غير المعتادة في CLI وGUI

لقطات الشاشة

CLI

GUI

Headers (Structure View + Editor)

Header Editor (Inline Editing)

رموز الخروج

المستندات

• نظرة عامة وميزات
• التثبيت
• الاستخدام والأمثلة
• مسح للأدوات الحالية
• العمل المستقبلي

الترخيص

MIT OR Apache-2.0