العربية

→ العودة إلى القائمة

LensAnalysis مفتوحة المصدر: أداة رسومية للتحقيق في الذاكرة مبنية على Volatility 3، ونعمة للاعبي CTF

itadol5j

لطالما اقترن التحقيق في الذاكرة بعائق: Volatility قوي بلا شك، لكن معاملات سطر الأوامر فيه كثيرة إلى حدّ الإحباط. والآن جاءت أداة مفتوحة المصدر أزالت هذا العائق — هي LensAnalysis، أداة رسومية للتحقيق في الذاكرة مبنية على Volatility 3، صارت مفتوحة المصدر رسميًا في 15 سبتمبر.

أداة التحقيق في الذاكرة

المطور هو hilyary، الذي اختار فتح الشيفرة المصدرية خلال الأسبوع الوطني للتوعية بالأمن السيبراني لعام 2026 (من 14 إلى 20 سبتمبر)، الذي يحمل شعار «الأمن السيبراني من أجل الشعب ويقوم عليه الشعب — في عصر الذكاء، يحمي الأمن السيبراني المسيرة». واختيار هذا التوقيت مناسب تمامًا.

ما المشكلة التي يحلها

كل من مارس التحقيق في الذاكرة يعرف أن Volatility 3 هو الإطار المعياري في هذا المجال، لكنه يعمل بسطر الأوامر فقط: عليك حفظ أسماء الإضافات، ومطابقة المعاملات، وتجهيز جداول الرموز بنفسك. وفي مباريات CTF الوقت ضيق، وفي مواقع الاستجابة للطوارئ الضغط كبير، وخطأ في معامل واحد قد يضيّع عليك وقتًا طويلًا.

ما تفعله LensAnalysis مباشر:تضع كل قدرات Volatility 3 خلف واجهة رسومية. تختار الإضافة من اللوحة اليسرى، وبنقرة واحدة تُنفَّذ، وتظهر النتائج فوريًا على اليمين. ومعها تخزين مؤقت ذكي يجعل العمليات المتكررة تستجيب في ثوانٍ.

قدرات التحليل المدعومة

تغطي المنصات الثلاث Windows وLinux وmacOS، وعدد الإضافات كبير:

Windows (أكثر من 60 إضافة):

  • تحليل العمليات: pslist، pstree، psscan، dlllist، handles، cmdline
  • تحليل الشبكة: netscan، netstat (بطوابع زمنية كاملة)
  • السجل (Registry): hivelist، printkey، certificates، userassist
  • البرمجيات الخبيثة: malfind، ldrmodules، hollowprocesses
  • استخراج كلمات المرور: hashdump، lsadump، cachedump
  • فحص الخدمات: svcscan، svclist

Linux: pslist/pstree/psaux/envars، netstat/sockstat/ip_addr/ip_link، lsmod/check_modules/check_syscall، استخراج سجل أوامر bash، lsof/list_files/mount_info، malfind/check_idt/check_afinfo.

macOS: pslist/pstree/psaux/envars، netstat/ifconfig، lsmod، lsof/list_files/mount، timers/kauth_listeners/vfsevents.

إضافات رسومية لـ Volatility 3

ميزات توفر جهدًا حقيقيًا

  • البحث عن الـFlag: بحث تلقائي عن صيغ الـFlag الشائعة (flag{xxx})، نعمة حقيقية للاعبي CTF
  • البحث بالتعبير النمطي: تعبيرات نمطية مخصصة لتنقيب البيانات داخل الذاكرة
  • استخراج السلاسل النصية: استخراج جميع السلاسل القابلة للطباعة بنقرة واحدة
  • الإنشاء التلقائي لجداول رموز Linux: تنزيل حزم رموز التصحيح dbgsym تلقائيًا من المصادر الرسمية وتحويلها إلى صيغة ISF الخاصة بـ Volatility 3. يدعم Ubuntu وDebian وCentOS — لا حاجة بعد اليوم للبحث اليدوي عن جداول الرموز
  • دعم البروكسي: HTTP/HTTPS/SOCKS5، فيمكن تنزيل جداول الرموز حتى داخل الشبكات الداخلية
  • تصدير التقارير: بثلاث صيغ: Markdown وHTML وWord

ميزة «الإنشاء التلقائي لجداول الرموز» تستحق مدحًا خاصًا. فمن جرّب Volatility 3 يعرف أن جداول الرموز من أكبر الفخاخ — كل توزيعة وكل إصدار نواة يحتاج رموزه المقابلة، وإعدادها يدويًا قد يستهلك يومًا كاملًا. هذه الميزة أتمتت العملية بالكامل.

كيفية التثبيت والاستخدام

حزم جاهزة للمنصات الثلاث:

  • Windows: نزّل LensAnalysis.exe وشغّله بالنقر المزدوج. عند أول تشغيل، اقرأ شروط الاستخدام ووافق عليها، وأدخل معرّفك الشخصي في صفحة الترحيب للدخول (الأداة مفتوحة المصدر الآن، ولا حاجة لرمز جهاز أو رمز تنشيط)
  • macOS (12+): نزّل ملف .dmg واسحبه إلى Applications، وعند أول تشغيل انقر بزر الفأرة الأيمن ثم افتح
  • Linux: نزّل ملف .tar.gz وفك الضغط وشغّل run.sh، كما يمكن تشغيله من الشيفرة المصدرية

سير العمل من أربع خطوات: تحميل الصورة (.raw/.mem/.vmem وغيرها، ويتعرف النظام على النوع تلقائيًا) ← اختيار الإضافة من اليسرى وتنفيذها ← مشاهدة النتائج على اليمين ← تصدير التقرير.

⚠️ حزمة Windows معبأة بـPython وغير موقعة برمجيًا حتى الآن، وقد تُعتبرها بعض برامج الحماية إنذارًا كاذبًا، لذا نزّلها حصرًا من صفحة الإصدارات الرسمية.

الترخيص: مجاني للاستخدام غير التجاري، والاستخدام التجاري يحتاج إذنًا

هذه النقطة يجب توضيحها تفاديًا للمزالق:

  • ✅ التعلم الشخصي، والبحث الأمني، ومسابقات CTF، والتدريس، واختبارات الاختراق المرخصة، والاستجابة للطوارئ — كلها مجانية
  • ✅ مع الاحتفاظ بمعلومات المؤلف الأصلي وحقوق النشر، يجوز التعديل والتوزيع والتطوير غير التجاري
  • ❌ دون إذن كتابي، يُحظر بيع البرنامج أو تقديم خدمات مدفوعة به أو دمجه في منتجات تجارية
  • ❌ يُحظر إزالة معلومات حقوق النشر أو تعديلها، ونسب النسخ المعدلة إلى النسخة الرسمية

للاستخدام التجاري، تواصل أولًا مع المؤلف الأصلي للحصول على إذن كتابي. والشروط الكاملة هي نص LICENSE في المستودع.

تقرير تحليل صورة الذاكرة

لماذا يستحق الانتباه

التحقيق في الذاكرة مهارة جوهرية في الاستجابة للطوارئ وصيد التهديدات، لكن سلسلة أدواته ظلت «عسيرة». وقيمة LensAnalysis في خفض العائق — فهي لم تخترع عجلة جديدة، بل غلّفت محرك Volatility 3 الناضج بواجهة سهلة الاستخدام، وسدّت في الطريق أكبر فخ وهو جداول الرموز.

لاعبي CTF توفر عليهم الوقت؛ ولعاملين في الاستجابة للطوارئ تقلل الأخطاء؛ وللتدريس تجعل التحقيق في الذاكرة أسهل شرحًا. مفتوحة المصدر ومجانية لغير التجاري، فالعائق في حده الأدنى.

طبعًا، الأداة أداة فحسب. فما يحدد جودة التحقيق حقًا يبقى فهم المحلل لبنية الذاكرة ومنهجيته في العمل. لكن على الأقل من اليوم، لن تقلق بعد الآن بسبب حفظ معاملات سطر الأوامر.

جعل التحقيق في الذاكرة أبسط — هذا شعار تستحقه فعلًا.

عنوان المشروع: github.com/hilyary/LensAnalysis
تاريخ فتح المصدر: 15 سبتمبر 2026
الترخيص: مجاني للاستخدام غير التجاري، والاستخدام التجاري يحتاج إذنًا