الملخص:
في الآونة الأخيرة، استمر انتقاد أداء Windows 11 من قبل المستخدمين، كما جذبت خدمة الخلفية التي تسمى "Windows Health and Optimized Experiences" الانتباه أيضًا. لقد قيل سابقًا أن الخدمة تراقب معلومات المعالج ودرجة الحرارة والبطارية وترسل البيانات إلى Microsoft كل 15 دقيقة. في هذا الصدد، قام المهندس العكسي Xusheng Li بتحليل خدمتها الأساسية whesvc وخلص إلى أن الخدمة لديها أذونات نظام واسعة جدًا، ولكن البرامج النصية الحالية تستخدم بشكل أساسي لتشخيص الأداء، ولم يتم العثور على أي علامات للتحميل التلقائي لبيانات المستخدم أو مراقبة الشاشة.
لقد أوضح مهندس Microsoft Scott Hanselman سابقًا أن الخدمة موجودة في Windows، حيث تجمع البيانات التشخيصية للأداء المستهدف عند اكتشاف تأخر أو استجابة بطيئة. سيتم حفظ معلومات التتبع ذات الصلة محليًا أولاً، ويمكن للمستخدمين اختيار ما إذا كانوا يريدون إرسالها من خلال "مركز الملاحظات". يؤكد التحليل العكسي لـ Xusheng Li بشكل أساسي هذا البيان، ولكنه يوضح أيضًا أن التنفيذ الأساسي له أكثر تعقيدًا بكثير من خدمات تشخيص الأداء العادية.
يُظهر التحليل أن حجم وجود خدمة whesvc ليس كبيرًا، وأن الوظائف الرئيسية موجودة بشكل أساسي في Windiag.dll. تتضمن مكتبة الارتباط الديناميكي لغة البرمجة النصية Lua 5.4.7. توفر Microsoft أيضًا whesvc_assets.dll مع النظام، الذي يحتوي على 84 برنامجًا نصيًا من نوع Lua، كل منها مسؤول عن سيناريوهات تشخيصية مختلفة.
وجد Xusheng Li أن محرك البرامج النصية فتح 79 وظيفة أصلية للنصوص البرمجية، مع نطاق واسع من الإمكانات القابلة للاستدعاء. يتضمن ذلك قراءة سجل Windows وتعديله، وإجراء عمليات الملفات، وإنشاء العمليات والتحكم فيها، والاستعلام عن WMI (Windows Management Instrumentation)، وجمع بيانات ETW (Windows Event Tracing)، والتحقق من رموز الأمان، والحصول على معلومات الطاقة ودرجة الحرارة، وتنزيل ملفات الرموز، وإنشاء حزم مضغوطة بتنسيق .cab، وبدء طلبات HTTP.
بالإضافة إلى ذلك، تتضمن هذه الآلية أيضًا واجهة وظيفة خارجية مشتركة (FFI)، والتي تسمح للبرامج النصية بالتفاعل مع مكتبات DLL الأصلية ومقابض Windows المختلفة. من منظور القدرات وحده، فإن أذونات هذا المحرك الأساسي تتجاوز بالفعل ما هو مطلوب لتشخيص الأداء العادي، مما قد يتسبب بسهولة في قلق المستخدمين بشأن الخصوصية والتحكم في النظام.
ومع ذلك، فإن كونك قويًا لا يعني استخدامك لارتكاب سلوك غير لائق. تظهر نتائج الهندسة العكسية أن معظم البرامج النصية التي توفرها Microsoft مع النظام تستخدم هذه الإمكانات فقط لمهام التشخيص الروتينية. على سبيل المثال، يتم استخدام الوظائف المتعلقة بالتسجيل بشكل أساسي لحفظ العدادات الخاصة بها بعد إعادة تشغيل الخدمة؛ يمكن لوحدة معلومات برنامج التشغيل تعديل إعدادات Windows Driver Verifier، ولكن يجب تشغيل هذه الوظيفة بواسطة متغيرات بيئة محددة وتخدم عملية مراقبة الذاكرة. يعتقد الباحثون أن هذه قد تكون واحدة من أكثر عمليات whesvc توغلاً في الاستخدام العملي.
تستدعي بعض البرامج النصية أيضًا أدوات Microsoft الخاصة. على سبيل المثال، سيبدأ أحد البرامج النصية تشغيل powercfg.exe لإنشاء تقرير النوم الخاص بدراسة النوم، وسيقوم مسار آخر باستدعاء wpr.exe لدمج سجلات تتبع الأداء التي تم إنشاؤها بواسطة Windows Performance Recorder.
فيما يتعلق بقدرات التشخيص العملية، يمكن لـ whesvc جمع معلومات التتبع عندما يصبح التطبيق غير مستجيب، ومراقبة تأخر الإدخال وعرض الحالات الشاذة، وتحديد التطبيقات التي تبدأ ببطء، واكتشاف خدمات النظام التي تظل في حالة انتظار لفترة طويلة. يمكن استخدام وحدة الطاقة الخاصة به لاستكشاف أخطاء استهلاك الطاقة غير الطبيعي وإصلاحها، وتحليل العوامل التي تمنع الكمبيوتر من الدخول في وضع السكون، والاستجابة لمشكلات استهلاك الطاقة المستمرة.
خذ وحدة Memory_handle_leak كمثال. يتم استخدام هذه الوحدة خصيصًا لاستكشاف أخطاء تسرب الذاكرة وإصلاحها. فهو يتتبع أعداد الذاكرة والمقبض على فترات زمنية متعددة ويجمع بين النمو المتسلسل ومنحدرات الانحدار الخطي لمحاولة التمييز بين التسريبات المحتملة للذاكرة ونمو الموارد العادية.
تم أيضًا توضيح العبارة المثيرة للجدل المتمثلة في "تحميل البيانات كل 15 دقيقة" في هذا التحليل. تقوم الوحدة system_summary بإنشاء ملخص نظام JSON مدته 900 ثانية، أو 15 دقيقة، ولكن يتم حفظ هذه البيانات محليًا بشكل افتراضي. وعلى الرغم من إمكانيات الاتصال بالشبكة التي تتمتع بها الخدمة، لم يعثر الباحثون على أي سيناريوهات نصية من شأنها تقديم طلبات HTTP عشوائية؛ من بين جميع البرامج النصية البالغ عددها 84، يشير عنوان URL الوحيد الذي تم تحديده إلى خادم الرموز العام لشركة Microsoft، وهي ميزة تم تعطيلها في عمليات تثبيت Windows العادية للبيع بالتجزئة.
لذلك، قال Xusheng Li إنه بحث على وجه التحديد عن السلوك المشبوه المحتمل، لكنه لم يعثر على أي دليل على أن الخدمة ستسجل الشاشة سرًا، ولم يجد أنه سيتم تحميل بيانات التتبع التشخيصي تلقائيًا إلى Microsoft دون إجراء المستخدم. البيان الذي "يستخدم Windows 11 هذه الخدمة لمراقبة المستخدمين سرًا" والذي تم نشره على الإنترنت يفتقر إلى الأساس الفني المناسب.
بشكل عام، ما صممته Microsoft لنظام التشغيل Windows 11 هو محرك تشخيص عالمي للنظام يعمل بأذونات النظام ويمكنه التعامل مع مهام مثل التسجيل والملفات والعمليات وتنفيذ التعليمات البرمجية الأصلية. ومن الواضح أن قدراته الأساسية أقوى من تلك المطلوبة لاستكشاف أخطاء الأداء وإصلاحها بحد ذاتها، ولكن البرامج النصية المتوفرة حاليًا مع النظام لا تزال محدودة بنطاق تشخيص الأداء. بمعنى آخر، قد يستحق تصميم إذن whesvc اهتمامًا مستمرًا، لكن التحليل الحالي لا يدعم وصفه المباشر بأنه "برنامج تجسس".
التعليقات