Driver Buddy Reloaded

Table of Contents

• Driver Buddy Reloaded
  • Table of Contents
  • Installation
  • Quick Usage
    • Advanced Usage
  • About Driver Buddy Reloaded
    • Finding DispatchDeviceControl
    • Labelling WDM and WDF Structures
    • Finding and Decoding IOCTL Codes
    • Flagging Functions
    • Finding DeviceName
    • Dumping Pooltags
    • Heuristic Vulnerability Checks
  • Feature Flags
  • Testing
  • Known Caveats and Limitations
  • Credits and Acknowledgements

Installation

تعتمد طريقة التثبيت على إصدار IDA لديك، لأن مدير الإضافات المدمج (وبالتالي أداة hcli وملف ida-plugin.json) موجود فقط في IDA 9.0 وما فوق. لا يحتوي IDA 7.6 و 8.x على مدير إضافات، ويتم مسح المستوى الأعلى لمجلد الإضافات فقط.

IDA 9.0+ (مدير الإضافات / hcli)

يحتوي المستودع على ملف ida-plugin.json، لذلك يقوم IDA 9.0+ بتحميل الإضافة من دليلها الفرعي الخاص. قم بتثبيتها باستخدام:``` hcli plugin install DriverBuddyReloaded

يؤدي هذا إلى وضع الإضافة في مجلد فرعي من مجلد الإضافات الخاص بالمستخدم (مثل
`%APPDATA%\Hex-Rays\IDA Pro\plugins\DriverBuddyReloaded\` أو `~/.idapro/plugins/DriverBuddyReloaded/`)، مع الاحتفاظ بنقطة الدخول
`DriverBuddyReloaded.py` *داخل* ذلك المجلد الفرعي. هذا هو التخطيط المقصود: يقرأ IDA البيان التصريحي،
ويحمل نقطة الدخول المعلنة من المجلد الفرعي، ويضع المجلد الفرعي في `sys.path` حتى تتمكن نقطة الدخول من
استيراد حزمة `DriverBuddyReloaded` المجاورة. لا **تحتاج** إلى نقل `DriverBuddyReloaded.py` إلى المستوى الأعلى.

تحقق من التثبيت باستخدام `hcli plugin status`، ثم شغّل IDA وتأكد من ظهور الإضافة ضمن
`Edit -> Plugins` (تحقق من نافذة الإخراج (Output window) من وجود أي أخطاء Python عند بدء التشغيل).

للتثبيت من نسخة محلية للاختبار (مثلًا بعد التعديلات الخاصة بك)، قم بتشغيل `hcli plugin install .` من
جذر المستودع؛ يقوم `hcli plugin lint .` بالتحقق من صحة البيان/التخطيط أولاً.

### IDA 7.6 / 8.x (نسخ يدوي)

لا تحتوي هذه الإصدارات على مدير إضافات، لذا فإن الإضافة المثبتة عبر `hcli` في مجلد فرعي **لن** يتم اكتشافها. انسخ
مجلد `DriverBuddyReloaded` وملف البرنامج النصي `DriverBuddyReloaded.py` مباشرة إلى **المستوى الأعلى** من
مجلد إضافات IDA، على سبيل المثال:
- `%APPDATA%\Hex-Rays\IDA Pro\plugins\`
- `C:\Program Files\IDA Pro 8.4\plugins\`
- `~/.idapro/plugins/`

سيكون التخطيط الناتج هو `plugins\DriverBuddyReloaded.py` بجانب `plugins\DriverBuddyReloaded\` (مجلد الحزمة).

### ملاحظات

إذا كان IDA الخاص بك مهيأ لـ Python 2، فشغّل الملف الثنائي `idapyswitch` (الموجود في مجلد IDA) لتبديله إلى Python 3.

**ملاحظة:** يعمل Driver Buddy Reloaded على IDA 7.6+، 8.x (بما في ذلك 8.4) و 9.0+ مع Python 3. يتم التعامل مع جميع الاختلافات الخاصة بإصدارات IDA في واجهة برمجة التطبيقات (إزالة `get_inf_structure`، ووحدة `ida_struct` ووظائف المساعدة `idc.*struc*` في IDA 9.0، وما إلى ذلك) داخليًا من خلال طبقة التوافق `DriverBuddyReloaded/ida_compat.py`.

## الاستخدام السريع

لاستخدام ميزة التحليل التلقائي:

1. شغّل IDA وحمّل برنامج تشغيل Windows kernel driver.
2. انتقل إلى `Edit -> Plugins -> Driver Buddy Reloaded` أو اضغط `CTRL+ALT+A` لبدء التحليل التلقائي.
3. تحقق من نافذة "Output" للحصول على نتائج التحليل، ونافذة **Driver Buddy Reloaded - Findings** التي تفتح
   عند انتهاء التشغيل (انقر نقرًا مزدوجًا على صف للانتقال إلى عنوانه).
4. تتم كتابة الملفات التالية في دليل قاعدة بيانات IDA (جميعها مسبوقة بـ `<DRIVER_NAME>-YYYY-MM-DD-TIMESTAMP-`):
   - `findings.json` - نتائج قابلة للقراءة آليًا (IOCTLs، وظائف مُعلّمة، أسماء الأجهزة، pooltags، سلاسل استدعاء، استكشاف استدلالي، مراجعة ACL للجهاز، روابط رمزية، مراجعة الصادرات، التعليمات البرمجية المميزة)
   - `report.html` - تقرير HTML مستقل، مجمّع حسب الخطورة
   - `pooltags.txt` - تفريغ pooltags بتنسيق `pooltags.txt` لـ WinDbg
   - `autoanalysis.txt` - سجل التحليل النصي الكامل (يعكس نافذة Output)

لفك تشفير IOCTL:

1. ضع مؤشر الماوس على السطر الذي يحتوي على رمز IOCTL مشتبه به.
2. انقر بزر الماوس الأيمن واختر `Driver Buddy Reloaded -> Decode IOCTL`؛ بدلاً من ذلك، اضغط على الاختصار `CTRL+ALT+D`.

لإعادة فتح نافذة IOCTLs أو نافذة findings في أي وقت (دون إعادة تشغيل التحليل):

- اضغط `CTRL+ALT+I` لفتح نافذة IOCTLs.
- اضغط `CTRL+ALT+F` لفتح نافذة findings.

### الاستخدام المتقدم

- يحتوي دليل [vulnerable_function_lists](https://github.com/voidsec/driverbuddyreloaded/blob/main/DriverBuddyReloaded/vulnerable_functions_lists) على قوائم بالوظائف/واجهات برمجة التطبيقات/التعليمات البرمجية التي قد تشكل خطورة؛ يتم تقديم وصف موجز لسبب إدراج وظيفة/API معينة. يمكنك تحرير القائمة `custom` لتضمين وظائف محددة للسائق.
  
  **ملاحظة**: `winapi_function_prefixes` ستطابق جزئيًا بداية اسم الوظيفة (مثلًا `Zw` ستطابق `ZwClose`، `ZwCommitComplete` وهكذا) بينما `winapi_functions` ستقوم بمطابقة تامة فقط.
- في [find_opcodes.py](https://github.com/voidsec/driverbuddyreloaded/blob/main/DriverBuddyReloaded/find_opcodes.py)، يعمل خيار `find_opcode_data` (القيمة الافتراضية `False`)
  على قمع مطابقات التعليمات البرمجية التي تقع في أقسام البيانات
  ([issue #11](https://github.com/VoidSec/DriverBuddyReloaded/issues/11)). يؤدي تغييره إلى `True` إلى إظهار
  مطابقات البايت الخام في البيانات أيضًا؛ إذا تم تفويت تعليمة برمجية حقيقية بهذه الطريقة، فإن الذهاب إلى العنوان المُبلغ عنه وإعادة تعريف
  البايتات كرمز عادة ما يستعيدها. يتم الإبلاغ عن المطابقات مثل أي مرحلة أخرى (نافذة النتائج،
  `findings.json`، `report.html`).
  
  **انتبه**: يؤدي تغييره إلى `True` إلى توليد مزيد من النتائج الإيجابية الخاطئة!

## حول Driver Buddy Reloaded

**Driver Buddy Reloaded** هي إضافة IDA Pro بلغة Python تساعد في أتمتة بعض المهام المملة في هندسة عكسية لـ Windows Kernel Drivers. تحتوي على عدد من الميزات المفيدة، مثل: