笔记本搭建cuckoo环境优化研究

对于想搭建沙箱进行恶意代码研究的同学而言，cuckoo是必不可少的研究一环，然而无论何种沙箱体系，占用资源都不少，本人联想T580 4核8代i7 32G内存 256SSD 1T机械仍然觉得在运行cuckoo的过程中十分吃力，尤其是要使用windows10作为恶意代码执行环境的话，一是卡死可能性极大，另外就是难以得到正确行为，遂有此篇文章。

本次优化，主要是把cuckoo CWD目录移至机械硬盘而虚拟机都在SSD，同时压缩虚拟机占用磁盘空间以节省SSD资源。

一、移动CWD目录

在第一次运行cuckoo之后在/home/user目录下会生成 .cuckoo文件夹，其内存储了我们需要更改的配置文件和分析后pcap等文件，因此此文件夹会随着分析任务的增加而增加，这种空间增加在机械硬盘即可，无需使其占用SSD的宝贵空间。

首先利用虚拟机的共享文件夹功能创建机械硬盘的共享连接，linux虚拟机中应该为/mnt/hgfs/flodername。

将生成的.cuckoo文件夹剪切到共享文件夹下，修改配置。

利用命令ln -s 在原位置建立软连接。虚拟机内部修改完成。

二、减小占用SSD磁盘空间

虚拟机创建后，配置完成会存在一些磁盘占用过大的情况，我们想充分利用磁盘空间则需要给vmdk文件瘦身。以vmware为例

1、利用vmware自带工具vmware-vdiskmanager.exe将vmdk文件转成增长型多文件集也就是利用命令：

vmware-vdiskmanager.exe -r yourvmdk.vmdk -t 1 target.vmdk

转换后打开虚拟机利用磁盘管理工具对磁盘分区，只要自己想要的磁盘大小再略小个1/2G即可（为文件系统留出空间），并且分区统一向左对齐，target.vmdk如下图所示：

对比可以看出8323072这个数字为每个文件有多少蔟。

举例来说想保留50G空间

则：50*1024*1024*2=104857600

104857600/8323072=12

104857600%8323072=4980736

即保留13个文件，第13个文件大小改成4980736即可。

随后，为发挥SSD性能优势，我们可以再利用vmware-vdiskmanager.exe把vmdk类型改为增长型单个文件：

vmware-vdiskmanager.exe -r yourvmdk.vmdk -t 0 target.vmdk

删掉所有多余文件即可。