1. 功能介绍
**沙盒(Sanbox)**是一种将未知、不可信的软件隔离执行的安全机制。恶意软件分析沙盒一般用来将不可信软件放在隔离环境中自动地动态执行,然后提取其运行过程中的进程行为、网络行为、文件行为等动态行为,安全研究员可以根据这些行为分析结果对恶意软件进行更深入地分析。
Cuckoo sandbox是一款用 Python和C/C++ 编写的开源的自动化恶意软件分析系统,且跨越Windows、Android、Linux和Darwin四种操作系统平台。
1.1主要功能
- 跟踪记录恶意软件所有的调用状况;
- 恶意软件文件行为:恶意软件执行过程中创建新文件、修改文件、删除文件、读取文件或下载文件的行为;
- 获取恶意软件的内存镜像;
- 以 PCAP 格式记录恶意软件的网络流量;
- 获取恶意软件执行过程中的屏幕截图;
- 获取执行恶意软件的客户机的完整内存镜像
Cuckoo 可以分析的几乎所有的文件格式
1.2 架构设计
Cuckoo 的架构也比较简单,在 Host 机上运行 Cuckoo 主程序,多个 Guest 机通过虚拟网络与 Host 机相连,每个 Guest 机上有一个 Cuckoo Agent 程序,用来做 Cuckoo 的监控代理,结构图如下:
其实就是说,在host的web上提交的文件,会被分配到各个guest上运行,收集该文件调用的状况。
2. 安装与配置
2.1 配置情况
主机(host):Ubuntu 18.04 LTS + 4Gb Ram + VirtualBox6.0 + Cuckoo Sandbox 2.0.4
客户机(guest):Windows XP professional SP3 + 512Mb Ram
主机与客户机之间的连接方式:Host-Only + IP转发
2.2 主机环境准备
-
更换源
自带的源不太稳定,所以更换为国内的源,如阿里源。操作如下:
sudo gedit /etc/apt/sources.list
deb http://mirrors.aliyun.com/ubuntu/ disco main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ disco main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ disco-security main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ disco-security main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ disco-updates main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ disco-updates main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ disco-backports main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ disco-backports main restricted universe multiverse deb http://mirrors.aliyun.com/ubuntu/ disco-proposed main restricted universe multiverse deb-src http://mirrors.aliyun.com/ubuntu/ disco-proposed main restricted universe multiverse
删除缓存:
sudo rm -vfr /var/lib/apt/lists/*
更新:
sudo apt-get update
sudo apt-get upgrade
-
安装cuckoo的依赖
-
sudo apt-get install git mongodb libffi-dev build-essential python-django python python-dev python-pip python-pil python-sqlalchemy python-bson python-dpkt python-jinja2 python-magic python-pymongo python-gridfs python-libvirt python-bottle python-pefile python-chardet tcpdump -y
-
安装Tcpdump并确认安装无误:
sudo setcap cap_net_raw,cap_net_admin=eip /usr/sbin/tcpdump
getcap /usr/sbin/tcpdump
输出:
/usr/sbin/tcpdump = cap_net_admin,cap_net_raw+eip
则表示已正确安装 -
安装Pydeep:
wget http://sourceforge.net/projects/ssdeep/files/ssdeep-2.13/ssdeep-2.13.tar.gz/download -O ssdeep-2.13.tar.gz tar -zxf ssdeep-2.13.tar.gz cd ssdeep-2.13 ./configure make sudo make install
确认pydeep安装无误:
ssdeep -V #检查版本
pip show pydeep #再安装一次看看会不会提示已安装
-
安装Volatility:
先安装Volatility的依赖
sudo pip install openpyxl ujson pycrypto distorm3 pytz
安装volatility
git clone https://github.com/volatilityfoundation/volatility.git
cd volatility
python setup.py build
python setup.py install
确认volatility安装无误
python vol.py -h
-
-
安装Cuckoo:
直接pip安装,别整啥乱七八糟的,到2019.06.29为止,最新版本应该是2.0.7,笔者试过2.0.1,2.0.4,2.0.6,2.0.7,发现从2.0.4开始之后的版本都差不多,倒是之前的版本差异太大,很难配置成功。
-
先执行以下指令以防止安装pillow时出错。
sudo apt-get install libtiff5-dev libjpeg8-dev zlib1g-dev libfreetype6-dev liblcms2-dev libwebp-dev tcl8.6-dev tk8.6-dev python-tk
pip安装cuckoo时会自动安装pillow,若不执行以下指令会出现
Command “/usr/bin/python -u -c “import setuptools, tokenize;file=‘/tmp/pip-install-OPu7Zt/pillow/setup.py’;f=getattr(tokenize, ‘open’, open)(file);code=f.read().replace(‘\r\n’, ‘\n’);f.close();exec(compile(code, file, ‘exec’))” install --record /tmp/pip-record-s5ZAyi/install-record.txt --single-version-externally-managed --compile --user --prefix=” failed with error code 1 in /tmp/pip-install-OPu7Zt/pillow/报错,如图:
[外链图片转存失败(img-gI6fyswo-1562310089362)(https://i.loli.net/2019/06/30/5d18370fdeecf63181.png)]
-
执行以下指令安装cuckoo:
pip install -U cuckoo
-
此时再到home目录下,按Ctrl+h显示隐藏文件,若没有 .cuckoo 这个隐藏目录,则要到
/home/(username)/.local/bin/
下,执行python cuckoo
,会在home下自动生成 .cuckoo 目录:cd /home/(username)/.local/bin/ #注意这里的username是你的Ubuntu用户名
python cuckoo
此时回到home下,执行
cuckoo -d
,测试一下能否打开cuckoocd /home cuckoo -d
**“若出现找不到指令cuckoo”**类似的报错:
-
可以进入到
/home/(username)/.local/bin/
下执行cuckoo -d
cd /home/(username)/.local/bin/ cuckoo -d
-
或是将
/home/(username)/.local/bin/
下的cuckoo文件,复制到/usr/local/bin/
下,这样的话就可以更加方便的启动cuckoo了。cp /home/(username)/.local/bin/cuckoo /usr/local/bin
若是有CuckooCriticalError这个报错,则说明成功,因为已经能成功启动cuckoo了,只是没有配置cuckoo,cuckoo无法连接套接字,待会再进行配置。
-
-
2.3 客户机环境准备
安装VirtualBox:
直接使用apt-get安装就行:
sudo apt-get install virtualbox
请注意,可能直接使用apt-get安装的virtualbox会缺少增强功能(也就相当于VMWare中的VMWare Tools),会导致无法让ubuntu主机和xp客户机之间建立共享文件夹,导致无法将python2.7安装包、PIL安装包、agent文件传送到xp客户机内,导致不能进行下一步操作。
在virtualbox中建立一个虚拟机作为客户机(guest),建议安装Win7或者WinXP,笔者使用XP,体积较小,xp镜像可以自行去msdn下载。
笔者这里提供msdn的zh-hans_windows_xp_professional_with_service_pack_3_x86_cd_x14-80404.iso 镜像
迅雷连接:ed2k://|file|zh-hans_windows_xp_professional_with_service_pack_3_x86_cd_x14-80404.iso|630239232|CD0900AFA058ACB6345761969CBCBFF4|/
若是想用pandownload的,笔者提供百度云(永久)链接:https://pan.baidu.com/s/1Zf7xJSG4WFmPKXEdt1rguQ
下载之后将镜像拖入Ubuntu中,打开终端,输入virtualbox,
点击新建虚拟机
接下来不想截图了:
依次设置:内存512m→现在创建虚拟硬盘→VDI→动态分配10G(这里可能7、8G就行了)
之后安装XP镜像,首先选择安装介质,选择刚刚导入的XP镜像。
接着将启动(引导)顺序更改,使进入虚拟机后自动进入光驱而不是硬盘,之后点确定,启动虚拟机。
注意如果出现以下提示:”发现无效设置“提示已经启用硬件虚拟化的,应该进入 系统→硬件加速→将启用VT-x/AMD-V的选项去掉,去掉之后应当检查之前的设置是否生效。
进入之后F8选择同意,之后一路按ENTER选择默认选项,直到读安装进度条。
完成后会自动重启,重启之后会出现安装windows的界面
之后的安装步骤没提到的话一路下一步就可以了,密钥爱填不填无所谓。
等待十几二十分钟,安装完毕之后,进入到windows xp的配置界面
这里选择不启用自动更新
选择不激活
之后就进入了桌面
-
此时点击右下角的那个红色盾牌,进去把防火墙、自动更新、病毒保护这三项全部关掉,防火墙不关掉的话Ubuntu主机是无法ping通xp虚拟机的。
-
接着检查xp的ip地址
点击左下角的开始按钮,点击运行,输入cmd,输入ipconfig查看xp客户机的ip地址,不出意外的话应该是10开头的ip地址,证明此时ubuntu主机和xp客户机现在是以网络地址转换(NAT)的连接方式连接着的,接下来就要将其改为Host-only方式连接。
2.4 基本网络配置
-
首先在VirtualBox的主机网络管理器中配置一个网卡
点击virtualbox的管理→主机网络管理器→创建,这样会自动创建一个ip地址为192.168.56.1的名为vboxnet0的网卡,这里不用开启DHCP服务器,因为后面我们要手动配置XP虚拟机的IP地址。
-
接着在virtualbox中右键xp虚拟机,点击网络→连接方式选择仅主机(Host-Only)网络,之后点击确定
-
点击确定完成之后,xp虚拟机右下角的网络连接应该会弹出一个小三角表示不能正常连接,这是正常的,处于Host-Only的连接方式下,Guest是不能访问互联网的,而Host是可以访问互联网的,要使Guest能访问
-
此时设置xp虚拟机的网络配置如下
-
进入Ubuntu主机,手动设置IP,我的设置如下
其中默认网关每个人的都可能不同,不要照着我的填,因为我的VMWare刚好就帮我设置了192.168.56.0这个网段。
具体该怎么设置如下:
-
打开本体机的VMWare,点击左上角的 编辑→虚拟网络编辑器
上面那个192.168.56.2就是要填入Ubuntu主机默认网关的IP地址,请按照自己的情况来设置。
此时关闭按钮再开启按钮,作为一次网络重启
此时Ubunutu主机的网络信息如下所示
-
-
尝试双方能不能ping通,按道理来讲是能ping通的。
2.5 IP转发
cuckoo的网络配置中使用Host-Only连接方式的原因:
根据cuckoo的架构可以得知,一个恶意软件被安装配置了cuckoo的host提交到各个guest进行运行分析时,host是想要知道guest的所有流量信息的,因为绝大部分的恶意软件搞破坏都依赖网络。此时只有设置Host-Only连接,host才能截获guest与互联网之间流经的所有流量,才能更好的分析恶意软件的行为方式。
此时Guest是无法访问互联网的,所以要在Host中设置IP转发,利用虚拟网卡做代理转发。
-
开启IP转发
sudo -i sysctl -w net.ipv4.ip_forward=1 echo 1 > /proc/sys/net/ipv4/ip_forward #为使重启之后仍然有效
gedit /etc/sysctl.conf
去掉net.ipv4.ip_forward=1 前的#号,保存
然后再执行下面的
sysctl -p /etc/sysctl.conf
-
配置Iptables的规则:
在配置Iptables规则之前要先Iptables -L看下有没有其他的防火墙规则,如果有的话自己百度搜怎么样删除
iptables -A FORWARD -o eth0 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE
#接着为保证重启之后依然有效 sudo gedit /etc/network/interfaces
#在最后添加两行 pre-up iptables-restore < /etc/iptables.rules post-down iptables-save > /etc/iptables.rules
-
测试Host-Only连接方式是否已经正确配置:
-
此时Ubuntu主机就不能访问网页了,但是ping 8.8.8.8的话是可以ping通的,因此肯定是DNS出了问题,但是不影响,可以先不管。
如果非要管的话也行,终端输入
sudo gedit /etc/resolv.conf
将nameserver 127.0.0.53 改为nameserver 114.114.114.114,保存,就可以访问网页了,但是千万不能重启网络,这样的话又会变成127.0.0.53了,想要彻底解决问题的话可以参考:
https://www.helplib.com/ubuntu/article_162736
https://blog.csdn.net/weixin_33920401/article/details/87407103 -
此时XP是可以正常访问网页的。
-
2.6 启动客户机的agent
-
在home下新建一个文件夹share,将文件
.cuckoo/agent/agent.py
复制到share -
接着在share中打开终端,输入
wget https://www.python.org/ftp/python/2.7.13/python-2.7.13.msi
wget http://effbot.org/media/downloads/PIL-1.1.7.win32-py2.7.exe
下载python2.7安装包和PIL安装包
-
要想再virtualbox中使用共享文件夹就必须再xp虚拟机中安装virtualbox增强功能,具体如下:
直接apt-get安装的Virtualbox是不带增强功能的,需要自己装。
点击
接下来会提示你下载,那就下载,记得选择保存至(Save as…)
接下来将xp正常关机,然后进入virtualbox的设置中顺便将之前的引导顺序调回来:
将之前的xp安装镜像移除:
将下载下来的Virtualbox增强功能的镜像安装上去:
接着点击确定,启动xp虚拟机即可,打开我的电脑,点击安装即可(安装中途会出现两次询问,点仍然安装即可)
-
在virtualbox中打开xp虚拟机的设置,新建共享文件夹,点击确定
-
进入xp虚拟机的我的电脑,可以看到下面多了一个网络驱动器,点进去就能看见共享的文件了,先安装python2.7后安装PIL
-
配置agent
我们想要agent.py运行但是不能有运行窗口,因为如果有窗口的话,到后面运行cuckoo提交样本时客户机会出错(别问我为什么知道的)。
-
把 agent.py 后缀改成 agent.pyw
-
将agent.pyw复制到
C:\Python27\
文件夹下,双击运行(是没有任何反应的) -
打开cmd,输入
netstat -an
,查看本地8000端口是否在监听如果8000端口正在监听,那说明此xp虚拟机就能被cuckoo所调用。
-
最后一步,在8000端口正在被监听的状态下,再virtualbox保存xp虚拟机快照,将快照命名为snapshot1
-
2.7 配置cuckoo
Cuckoo配置文件的更改是非常重要的一步,否则很可能你的所有安装都无法正常启动。
在 .cuckoo/conf/
中修改配置文件:
-
cuckoo.conf:
machinery = virtualbox [resultserver] ip = 192.168.56.1 #This is the IP address of the host port = 2042 #leave default unless you have services running
-
auxiliary.conf:
[sniffer] # Enable or disable the use of an external sniffer (tcpdump) [yes/no]. enabled = yes # Specify the path to your local installation of tcpdump. Make sure this # path is correct. tcpdump = /usr/sbin/tcpdump
-
virtualbox.conf:
machines = 你的虚拟机名字 [你的虚拟机名字] label = 你的虚拟机名字 platform = windows ip = 192.168.56.101 # IP address of the guest snapshot = 你创建的快照名字 interface = vboxnet0
-
reporting.conf:
[mongodb] enabled = yes #也许还有其他要改的,但是这个最重要,其他是yes还是no更多的是看你的需要,或者之后在使用时再来配置文件里面打开
3. 提交样本进行分析
-
首先运行以下指令,解决tcpdump的权限被拒绝
sudo apt-get install apparmor-utils sudo aa-disable /usr/sbin/tcpdump
否则新版的cuckoo再提交样本后会报错:
Unable to stop auxiliary module: Sniffer
具体参考https://cuckoo.sh/docs/faq/index.html#permission-denied-for-tcpdump
-
接着打开
.cuckoo/analyzer/windows/modules/auxiliary/recentfiles.py
将使用SHGetKnownFolderPath函数的部分注释掉(python中可以以三个单引号作为注释,且要注意三个单引号要与 r= 对齐,因为python中是以缩进来划分代码块)
否则cuckoo会报python的错误:
AttributeError: function 'SHGetKnownFolderPath' not found
具体参考https://github.com/cuckoosandbox/cuckoo/issues/1934
''' r = SHELL32.SHGetKnownFolderPath( uuid.UUID(self.locations[location]).get_bytes_le(), 0, None, ctypes.byref(dirpath) ) if r: log.warning("Error obtaining user directory: 0x%08x", r) return # TODO We should free the memory with CoTaskMemFree(). return dirpath.value '''
-
接着打开两个终端,一个先输入
cuckoo -d
,另一个再输入cuckoo web runserver
,接着用浏览器打开127.0.0.1:8000
登录到cuckoo的web服务页面,点击上传按钮可以提交样本,这里我随手提交了病毒实验用的工具pecomp.exe。点击提交,主机会将客户机恢复快照,并将样本传送至客户机进行运行分析:
样本分析结果摘要:
点击进入分析日志会发现没有报错,结果页面可显示测试后样本的行为,展示样本的基本信息,样本运行的基本信息,样本运行时的屏幕截图。
去卡饭论坛下载几个病毒样本https://bbs.kafan.cn/thread-2145532-1-1.html
-
可能是由于xp虚拟机里面没有装什么应用程序,单从截图上来看只有samp(1)有明显的行为。
可有看出它尝试连接了许多连接,并且下载了橙子浏览器的安装程序并自动运行:
左侧选择“Process Memory”,显示如下图。显示样本中所包含的URL链接。
接下来我将给各位同学划分一张学习计划表!
学习计划
那么问题又来了,作为萌新小白,我应该先学什么,再学什么?
既然你都问的这么直白了,我就告诉你,零基础应该从什么开始学起:
阶段一:初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划,当你学完后,你基本可以从事一份网络安全相关的工作,比如渗透测试、Web渗透、安全服务、安全分析等岗位;其中,如果你等保模块学的好,还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识(2天)
①了解行业相关背景,前景,确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。(非常重要)
2、渗透测试基础(1周)
①渗透测试的流程、分类、标准
②信息收集技术:主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理,利用方法、工具(MSF)、绕过IDS和反病毒侦察
④主机攻防演练:MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础(1周)
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全(系统入侵排查/系统加固基础)
4、计算机网络基础(1周)
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析(HTTP、TCP/IP、ARP等)
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御:主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作(2天)
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透(1周)
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具:Nmap、BurpSuite、SQLMap、其他(菜刀、漏扫等)
那么,到此为止,已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗?
阶段二:中级or高级网络安全工程师(看自己能力)
综合薪资区间15k~30k
7、脚本编程学习(4周)
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中,面对复杂多变的网络环境,当常用工具不能满足实际需求的时候,往往需要对现有工具进行扩展,或者编写符合我们要求的工具、自动化脚本,这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中,想要高效地使用自制的脚本工具来实现各种目的,更是需要拥有编程能力。
零基础入门的同学,我建议选择脚本语言Python/PHP/Go/Java中的一种,对常用库进行编程学习
搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP,IDE强烈推荐Sublime;
Python编程学习,学习内容包含:语法、正则、文件、 网络、多线程等常用库,推荐《Python核心编程》,没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构,并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三:顶级网络安全工程师
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
学习资料分享
当然,只给予计划不给予学习资料的行为无异于耍流氓,这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包,可点击下方二维码链接领取哦。
![](https://img-blog.csdnimg.cn/img_convert/ab61b8ae550caafcd82d2cb30aace02b.jpeg)