对于想搭建沙箱进行恶意代码研究的同学而言,cuckoo是必不可少的研究一环,然而无论何种沙箱体系,占用资源都不少,本人联想T580 4核8代i7 32G内存 256SSD 1T机械仍然觉得在运行cuckoo的过程中十分吃力,尤其是要使用windows10作为恶意代码执行环境的话,一是卡死可能性极大,另外就是难以得到正确行为,遂有此篇文章。
本次优化,主要是把cuckoo CWD目录移至机械硬盘而虚拟机都在SSD,同时压缩虚拟机占用磁盘空间以节省SSD资源。
一、移动CWD目录
在第一次运行cuckoo之后在/home/user目录下会生成 .cuckoo文件夹,其内存储了我们需要更改的配置文件和分析后pcap等文件,因此此文件夹会随着分析任务的增加而增加,这种空间增加在机械硬盘即可,无需使其占用SSD的宝贵空间。
首先利用虚拟机的共享文件夹功能创建机械硬盘的共享连接,linux虚拟机中应该为/mnt/hgfs/flodername。
将生成的.cuckoo文件夹剪切到共享文件夹下,修改配置。
利用命令ln -s 在原位置建立软连接。虚拟机内部修改完成。
二、减小占用SSD磁盘空间
虚拟机创建后,配置完成会存在一些磁盘占用过大的情况,我们想充分利用磁盘空间则需要给vmdk文件瘦身。以vmware为例
1、利用vmware自带工具vmware-vdiskmanager.exe将vmdk文件转成增长型多文件集也就是利用命令:
vmware-vdiskmanager.exe -r yourvmdk.vmdk -t 1 target.vmdk
转换后打开虚拟机利用磁盘管理工具对磁盘分区,只要自己想要的磁盘大小再略小个1/2G即可(为文件系统留出空间),并且分区统一向左对齐,target.vmdk如下图所示:
对比可以看出8323072这个数字为每个文件有多少蔟。
举例来说想保留50G空间
则:50*1024*1024*2=104857600
104857600/8323072=12
104857600%8323072=4980736
即保留13个文件,第13个文件大小改成4980736即可。
随后,为发挥SSD性能优势,我们可以再利用vmware-vdiskmanager.exe把vmdk类型改为增长型单个文件:
vmware-vdiskmanager.exe -r yourvmdk.vmdk -t 0 target.vmdk
删掉所有多余文件即可。