pyrebox安装和使用

最新推荐文章于 2021-01-02 14:02:13 发布
最新推荐文章于 2021-01-02 14:02:13 发布
阅读量269 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiaoyaGrace/article/details/103347730
版权
测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

测试pyrebox能否完整支持volatility的功能

PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。

PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 (CPU，内存，设备……)。通过使用VMI技术，它并不需要对客户机操作系统进行任何的修改，因为它可以在运行时从其内存中检索信息。

1. Build PyREBox

给基于Debian的发行版安装依赖，Ubuntu是Debian的一个分支，所以可以在Ubuntu上使用：

apt-get install build-essential zlib1g-dev pkg-config libglib2.0-dev binutils-dev libboost-all-dev autoconf libtool libssl-dev libpixman-1-dev libpython-dev python-pip python-capstone virtualenv
  • 1

需要的python包有这些：

ipython>=5,<6 sphinx sphinx-autobuild prettytable pefile capstone distorm3 pycrypto pytz
  • 1

官方建议使用虚拟环境安装python依赖。如果本地已经安装了volatility，它会干扰PyreBox使用的volatility包。

创建一个虚拟环境：

virtualenv pyrebox_venv
  • 1

一旦创建好了虚拟环境后，激活环境来安装python的依赖，每次使用PyreBox前别忘了激活虚拟环境：

source pyrebox_venv/bin/activate
  • 1

为了安装python的依赖，可以使用pip：

pip install -r requirements.txt
  • 1

进入虚拟环境后用git clone下pyrebox：

git clone https://github.com/Cisco-Talos/pyrebox.git
  • 1

cd pyrebox，进行项目配置和build：

./build.sh
  • 1

当出现了Done, enjoy！的时候就是build完成

2. 为PyreBox创建虚拟镜像

目前，PyREBox支持Volatility支持的任何Windows映像（32位和64位）。

可以使用KVM创建自己的镜像文件。为了避免兼容性问题，最好使用pyrebox二进制文件而不是系统安装qemu二进制文件：

先执行：

sudo apt-get install qemu-utils
  • 1

需要创建一个qcow2格式的虚拟机文件，接着执行

qemu-img create -f qcow2 -o compat=0.10 images/xpsp3.qcow2 4G
  • 1

执行后，提示：

Formatting 'images/xpsp3.qcow2', fmt=qcow2 size=4294967296 compat=0.10 encryption=off cluster_size=65536 lazy_refcounts=off refcount_bits=16
  • 1

cd pyrebox，后执行：

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -cdrom images/WinXP.iso -boot d -enable-kvm
  • 1

会报错：

Could not initialize pyrebox, conf file 'pyrebox.conf' missing!
  • 1

可以先执行以下./start_x86_64.sh，就会有了上面的配置文件，不会报错了

接着执行上面的命令后就会得到

(qemu) VNC server running on 127.0.0.1:5900

下载ubuntu版本的vnc viewer的deb安装包并安装：

sudo dpkg -i VNC-Viewer-6.17.1113-Linux-x64.deb
  • 1

就可以使用VNC Viewer新建连接，连上上面的地址，就可以按提示在虚拟机上安装XP系统

继续安装，然后使用网络启动（不要使用-net none）和usb支持（-usb），并插入usb（请参阅加载USB映像）。让系统安装所有驱动程序

./pyrebox-i386 -m 256 -monitor stdio -usb -drive file=images/xpsp3.qcow2,index=0,media=disk,format=qcow2,cache=unsafe -netdev user,id=network0 -device rtl8139,netdev=network0
  • 1

以后启动就可以直接使用./pyrebox-i386脚本启动虚拟机，不过要指定qcow2文件的位置

基本QEMU使用文档：

PyREBox基于QEMU，为了在PyREBox中启动VM，需要像启动QEMU VM一样运行它。官方提供了几个示例脚本：start_i386.sh，start_x86_64.sh，可以将它们用作示例。

目前支持的唯一QEMU监视器选项是stdio（-monitor stdio）

一些有用的QEMU参数如下：

  • 内存，以兆字节为单位：

    -m 256
    • 1

  • 在标准输入/输出上启动提示以与qemu监视器交互：

    -monitor stdio
    • 1

  • 启用USB支持：

    -usb
    • 1

  • 可以指定具有不安全缓存的主图像文件，不安全的缓存将使快照速度更快：

    -drive file=images/xpsp3.qcow,index=0,media=disk,format=qcow2,cache=unsafe
    • 1

  • 禁用网络接口

    -net none
    • 1

  • 在第一个快照启动vm

    -loadvm 1
    • 1
3. 基本的PyREBox用法

启动VM后，将有一个（qemu）提示符，可以在其中运行所有QEMU命令。

PyREBox将首先读取其配置文件（pyrebox.conf）。

[MODULES]scripts.script_example.py: Truescripts.volatility_example: False[VOL]profile: WinXPSP3x86
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6

[MODULES]部分包含一个python模块列表（可以使用标准python表示法（使用点）指定包和子包）。可以根据需要启用或禁用脚本。这些脚本将自动加载。

[VOL]部分包含volatility配置。需要根据操作系统版本调整配置文件。

PyREBox命令允许加载/卸载脚本：

  • 导入模块并初始化它

    (qemu) import_module scripts.my_plugin
    • 1

  • 列出加载的模块

    (qemu) list_modules
    • 1

  • 通过模块句柄重新加载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) reload_module 1
    • 1

  • 通过模块句柄卸载模块（可以通过列出已加载的模块来获取此句柄）

    (qemu) unload_module 1
    • 1

  • 启动PyREBox shell

    (qemu) sh
    • 1
4. IPython Shell

启动shell之后，用list_commands可以列出PyreBox提供的一套可以观察和修改正在运行的虚拟机状态的命令

对于volatility可以用list_vol_commands来列出支持的所有的volatility命令，它也会显示自己安装在PyreBox中的volatility的插件

 

 

 

xiaoyaGrace
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
pyrebox：Python脚本化的反向工程沙箱，基于QEMU的虚拟机检测和检查框架
02-25
PyREBox是Python脚本化的反向工程沙箱。 它基于QEMU，其目标是通过提供不同角度的动态分析和调试功能来帮助进行逆向工程。 通过在python中创建简单的脚本来自动执行任何类型的分析，PyREBox可以检查正在运行的QEMU VM，修改其内存或寄存器并检测其执行情况。 QEMU（作为一个整体系统仿真器时）模拟一个完整的系统（CPU，内存，设备...）。 通过使用VMI技术，它不需要对来宾操作系统进行任何修改，因为它在运行时从其内存中透明地检索信息。 诸如 ， ， 或类的一些学术项目以前都利用基于QEMU的仪器来克服逆向工程任务。 这些项目允许使用C / C ++编写插件，并实现一些高级功能，例如动态污点分析，符号执行，甚至记录和重放执行轨迹。 借助PyREBox，我们旨在将这项技术的应用重点放在保持设计简单以及威胁分析人员对系统的可用性上。 PyREBox在2017年赢得了
01 - pyrebox基础信息
dmbjzhh的专栏
09-02 341
  What： pyrebox是一个python可编程的逆向工程沙箱   Why：为什么使用pyrebox 使用简单，提供了一套命令来检查或者修改正在运行的虚拟机的状态 使用QEMU支持多系统，集成了volatility 用pyrebox调试系统（或特定进程）相当隐蔽，和传统的调试器完全不一样。传统调试器会存在在被调试的系统中，升职修改调试进程的内存来插入断点；而pyrebox完全留...
00 - pyrebox安装和使用
dmbjzhh的专栏
07-23 1145
测试pyrebox能否完整支持volatility的功能 PyREBox是一个Python可脚本化逆向工程沙箱。它基于QEMU，其目标是通过从不同角度提供动态分析和调试功能，从而协助逆向工程。 PyREBox允许用python创建简单的脚本来自动化任何类型的分析，从而检查正在运行中的QEMU VM，修改其内存或寄存器，并指示其执行。QEMU (作为一个完整的系统仿真器工作时) 模拟完整的系统 ...
Python-PyREBox一个Python可脚本化的逆向工程沙箱
08-10
它基于QEMU，其目标是通过从不同的角度提供动态分析和调试功能来帮助逆向工程。 PyREBox允许通过在python中创建简单的脚本来自动执行任何类型的分析，来检查正在运行的QEMU VM，修改其内存或寄存器，并对其执行进行调整。
02 - pyrebox shell
dmbjzhh的专栏
09-02 274
Shell 环境基础   有两种不同的shell环境，一个是QEMU，另一个是pyrebox的shell。   启动虚拟机后，先启动的就是QEMU，然后键入sh进入shell环境。 shell环境中列出所有命令的命令是： %list_commands 列出所有pyrebox的命令，包括用户自定义在动态加载的脚本里的命令 %list_vol_commands 列出所有volat...
利用KVM作为调试平台
12-30
演示可能包括如何编译和安装LibVMI，以及如何使用它来收集和解析虚拟机的内存、寄存器和其他状态信息。 **4. KVM as a debugging platform (demo)** 利用KVM作为调试平台，开发者可以在不中断客体系统的情况下进行...
CTFs:我所有文件的集合是我参与的CTF的写照
03-15
4. **逆向工程**：使用Python的ida-pro、pykd等库可以与逆向工程工具交互，进行动态分析和调试。PyREBox是一个基于Python的逆向工程平台，可以帮助选手理解二进制代码。 5. **自动化脚本**：在CTF中，经常需要对...
python仿真脚本_PyREBox-可用Python编写脚本逆向工程沙盒.PDF
weixin_39525313的博客
12-11 173
2017 年7 月17 日，星期一PyREBox - 可用Python 编写脚本的逆向工程沙盒作者：Xabier Ugarte Pedrero在Talos ，我们不断努力提高我们自身的研究和威胁情报能力。因此，我们不仅利用标准工具进行分析，而且专注于创新，开发独有技术来应对新的挑战。此外，Talos 一直以来都支持开源项目，并开放了目前我们工作流程中使用的很多不同项目和工具的源代码(如FIRST ...
进入已经打开的pyrebox_001讲——进入PS世界的钥匙
weixin_36303462的博客
01-02 93
Hi！初次见面，我是野生派PS小课堂的23，很高兴能和大家相遇！当你点开这篇推文，你就已经站在了PS世界的大门前了，相信你现在的心情一定很兴奋吧！准备好一起进入PS的世界了吗？从这里开始，23我会带领着你，陪你一起在PS的世界里闯关打怪兽，一起在PS的世界里遨游~想要进入PS的世界，我们首先要对PS这位新朋友稍作了解，然后学会进入PS世界的“钥匙“的用法。所以今天这节课，我会给大家介绍一...
04 - pyrebox Guest Agent
dmbjzhh的专栏
09-04 514
agent的用途是虚拟机和主机之间传输文件和执行文件 和虚拟机之间的通信是通过无效的操作码（invalid opcodes） Windows   可以在guest/win文件夹下找到windows的Guest Agent   编译Guest Agent   可能需要安装mingw-w64包，比如在Ubuntu或Debian上： apt-get install gcc-mingw-...
06 - pyrebox的所有API
dmbjzhh的专栏
09-05 452
Pyrebox API class api.BP(addr, pgd, size=0, typ=0, func=None) 用于创建执行类断点，内存读取类断点和内存写入类断点的类 __init__(addr, pgd, size=0, typ=0, func=None) 断点类的构造器 参数： addr（int）：我们想要设置断点的（起始）地址 pgd（int）：我们想要设置断点的PGD或...
03 - pyrebox中编写脚本
dmbjzhh的专栏
09-04 351
官方示例在scripts文件夹下，示例的说明已经很详细了 pyrebox脚本功能： 给pyrebox环境定义新的命令 定义回调函数（会在每个受监视进程的不同事件发生时调用的函数） 给回调函数增加触发器 使用pyrebox提供的python API允许： 查询进程、模块 查询symbols（API名字解析） 读取和操作寄存器和内存 启动shell 利用volatility...
进入已经打开的pyrebox_PyREBox-可用Python编写脚本的逆向工程沙盒
weixin_28789303的博客
12-24 114
QEMU，其目的是通过从不同的角度提供动态分析和调试功能，来帮助实施逆向工程。PyREBox可以检查正在运行的QEMU虚拟机(VM)，修改其内存或寄存器，并使用简单的Python脚本监测其执行情况。QEMU(当作为整个系统仿真程序时)可以模拟完整的系统(CPU、内存、设备…)。通过使用虚拟机内省(VMI)技术，它不需要对访客操作系统进行任何修改，因为它可以在运行时透明地从内存中检索信息。有多个学术...
这演示的叫啥数学模型来着，似曾很熟
最新发布
07-25
这演示的叫啥数学模型来着，似曾很熟
b131学生成绩分析和弱项辅助系统-springboot+vue+elementui.zip（可运行源码+sql文件+文档）
07-25
学生成绩分析和弱项辅助系统在对开发工具的选择上也很慎重，为了便于开发实现，选择的开发工具为Eclipse，选择的数据库工具为Mysql。以此搭建开发环境实现学生成绩分析和弱项辅助系统的功能。其中管理员管理用户，新闻公告。 学生成绩分析和弱项辅助系统是一款运用软件开发技术设计实现的应用系统，在信息处理上可以达到快速的目的，不管是针对数据添加，数据维护和统计，以及数据查询等处理要求，学生成绩分析和弱项辅助系统都可以轻松应对。 学生信息管理页面，此页面提供给管理员的功能有：学生信息的查询管理，可以删除学生信息、修改学生信息、新增学生信息，还进行了对用户名称的模糊查询的条件。教师信息管理页面，此页面提供给管理员的功能有：查看已发布的教师信息数据，修改教师信息，教师信息作废，即可删除，还进行了对教师信息名称的模糊查询 教师信息信息的类型查询等等一些条件。试卷信息管理页面，此页面提供给管理员的功能有：根据试卷信息进行条件查询，还可以对试卷信息进行新增、修改、查询操作等等。公告信息管理页面，此页面提供给管理员的功能有：根据公告信息进行新增、修改、查询操作等等。
vue2之jessibuca视频插件使用教程之字体文件
07-25
vue2之jessibuca视频插件使用教程之字体文件
b126小型医院医疗设备管理系统-springboot+vue.zip（可运行源码+sql文件+文档）
07-25
小型医院医疗设备管理系统在Eclipse环境中，使用Java语言进行编码，使用Mysql创建数据表保存本系统产生的数据。系统可以提供信息显示和相应服务 总之，小型医院医疗设备管理系统集中管理信息，有着保密性强，效率高，存储空间大，成本低等诸多优点。它可以降低信息管理成本，实现信息管理计算机化。 职员信息管理页面，此页面提供给管理员的功能有：职员信息的查询管理，可以删除职员信息、修改职员信息、新增职员信息，还进行了对用户名称的模糊查询的条件。设备信息管理页面，此页面提供给管理员的功能有：查看已发布的设备信息数据，修改设备信息，设备信息作废，即可删除，还进行了对设备信息名称的模糊查询 设备信息信息的类型查询等等一些条件。库房信息管理页面，此页面提供给管理员的功能有：根据库房信息进行条件查询，还可以对库房信息进行新增、修改、查询操作等等。公告信息管理页面，此页面提供给管理员的功能有：根据公告信息进行新增、修改、查询操作等等。
Matlab实现布谷鸟优化算法CS-TCN-Multihead-Attention多输入单输出回归预测算法研究.rar
07-25
1.版本：matlab2014/2019a/2021a 2.附赠案例数据可直接运行matlab程序。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。 5.作者介绍：某大厂资深算法工程师，从事Matlab算法仿真工作10年；擅长智能优化算法、神经网络预测、信号处理、元胞自动机等多种领域的算法仿真实验，更多仿真源码、数据集定制私信+。 替换数据可以直接使用，注释清楚，适合新手
b153校园失物招领系统-springboot+vue+elementui.zip（可运行源码+sql文件+文档）
07-25
校园失物招领系统管理系统按照操作主体分为管理员和用户。管理员的功能包括字典管理、论坛管理、公告信息管理、失物招领管理、失物认领管理、寻物启示管理、寻物认领管理、用户管理、管理员管理。用户的功能等。该系统采用了Mysql数据库，Java语言，Spring Boot框架等技术进行编程实现。 校园失物招领系统管理系统可以提高校园失物招领系统信息管理问题的解决效率，优化校园失物招领系统信息处理流程，保证校园失物招领系统信息数据的安全，它是一个非常可靠，非常安全的应用程序。 ，管理员权限操作的功能包括管理公告，管理校园失物招领系统信息，包括失物招领管理，培训管理，寻物启事管理，薪资管理等，可以管理公告。 失物招领管理界面，管理员在失物招领管理界面中可以对界面中显示，可以对失物招领信息的失物招领状态进行查看，可以添加新的失物招领信息等。寻物启事管理界面，管理员在寻物启事管理界面中查看寻物启事种类信息，寻物启事描述信息，新增寻物启事信息等。公告管理界面，管理员在公告管理界面中新增公告，可以删除公告。公告类型管理界面，管理员在公告类型管理界面查看公告的工作状态，可以对公告的数据进行导出，可以添加新公告的信息，可以编辑公告信息，删除公告信息。
基于 Python 的恶意代码检测系统
05-23
3. YARA：一种基于规则的恶意软件检测系统，它使用 Python 和其他编程语言编写，可以通过定义规则以及对二进制文件和内存中的数据进行匹配来检测恶意软件。 4. LIEF：一个可扩展的二进制格式解析库，它使用 Python ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值