恶意代码分析实战 安装INetSim在CentOS 7上
CentOS 7安装INetSim
注： 博主对Perl不太熟，所以搜狗了半天（拒绝百度，从我做起）
官方安装步骤
inetsim documentation
不过写的比较笼统，可以参考参考
1.下载安装文件
从这里下载一个源文件
http://www.inetsim.org/downloads.html
然后放入centos里面，解压，然后用root运行setup.sh
发现报错
Group 'inetsim' does not exist! Aborting缺少了一个组叫inetsim
我们执行命令
groupadd inetsim然后再执行，就不会报错了
然后现在这是我们的软件的根目录
[root@localhost inetsim-1.2.6]# ls -il
total 68
4557160 -rw-r--r--. 1 nobody 65534 4353 Aug 29 2016 CHANGES
4557159 -rwxr-xr-x. 1 nobody 65534 1116 Aug 29 2016 cleanup.sh
12959504 drwxr-xr-x. 2 nobody 65534 26 Aug 29 20:08 conf
4557161 drwxr-xr-x. 2 nobody 65534 162 Aug 29 2016 contrib
4557169 -rw-r--r--. 1 nobody 65534 17982 Aug 29 2016 COPYING
408925 drwxr-xr-x. 10 nobody inetsim 105 Aug 29 2016 data
4557151 -rw-r--r--. 1 nobody 65534 1236 Aug 29 2016 DISCLAIMER
12993996 drwxr-xr-x. 2 nobody 65534 104 Aug 29 2016 doc
4557158 -rwxr-xr-x. 1 nobody 65534 552 Aug 29 2016 inetsim #启动inetsim
8452339 drwxr-xr-x. 3 nobody 65534 39 Aug 29 2016 lib
4557157 -rw-r--r--. 1 nobody 65534 12172 Aug 29 2016 LIESMICH
8944999 drwxrwx---. 2 nobody inetsim 6 Aug 29 2016 log
408987 drwxr-xr-x. 5 nobody 65534 40 Aug 29 2016 man
4557156 -rw-r--r--. 1 nobody 65534 10652 Aug 29 2016 README
442180 drwxrwx---. 2 nobody inetsim 6 Aug 29 2016 report
4557143 -rwxr-xr-x. 1 nobody 65534 1197 Aug 29 2016 setup.sh但是启动之后我们会发现报错
[root@localhost inetsim-1.2.6]# ./inetsim
Can't locate IPC/Shareable.pm in @INC (@INC contains: ./lib /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5) at lib/INetSim/Config.pm line 18.
BEGIN failed--compilation aborted at lib/INetSim/Config.pm line 18.
Compilation failed in require at lib/INetSim.pm line 20.
BEGIN failed--compilation aborted at lib/INetSim.pm line 20.
Compilation failed in require at ./inetsim line 20.
BEGIN failed--compilation aborted at ./inetsim line 20.大概意思就是我们缺了一个Shareable.pm文件，然后一查，这是个perl的运行库
那我们就安装这个库吧，用perl的安装方式
先进入交互模式
perl -MCPAN -e shell但是这里也会报错
Can't locate CPAN.pm in @INC (@INC contains: /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5 .).
BEGIN failed--compilation aborted.我们检查一下这个包有没有在系统里面了
rpm -q perl-CPAN显示
package perl-CPAN is not installedOK，那我们就装呗
yum install perl-CPAN大概要装这么多依赖包
Installed:
perl-CPAN.noarch 0:1.9800-291.el7
Dependency Installed:
gdbm-devel.x86_64 0:1.10-8.el7 glibc-devel.x86_64 0:2.17-157.el7_3.5 glibc-headers.x86_64 0:2.17-157.el7_3.5 kernel-headers.x86_64 0:3.10.0-514.26.2.el7
libdb-devel.x86_64 0:5.3.21-19.el7 perl-Data-Dumper.x86_64 0:2.145-3.el7 perl-Digest.noarch 0:1.17-245.el7 perl-Digest-SHA.x86_64 1:5.85-3.el7
perl-ExtUtils-Install.noarch 0:1.58-291.el7 perl-ExtUtils-MakeMaker.noarch 0:6.68-3.el7 perl-ExtUtils-Manifest.noarch 0:1.61-244.el7 perl-ExtUtils-ParseXS.noarch 1:3.18-2.el7
perl-Test-Harness.noarch 0:3.28-3.el7 perl-devel.x86_64 4:5.16.3-291.el7 perl-local-lib.noarch 0:1.008010-3.el7 pyparsing.noarch 0:1.5.6-9.el7
systemtap-sdt-devel.x86_64 0:3.0-7.el7
Complete!OK，我们执行安装
perl -MCPAN -e shell然后就开始第一次的配置
一直回车默认配置就行了
然后他会查找最近的镜像，这个过程有点慢感觉
你也可以手动配置这么几个Mirrors
最后它会出现这么一个交互界面
我们输入
install IPC::Shareable
这样就算安装完成了
然后我们再启动INetSim看看
还是报错
Base class package "Net::Server" is empty.
(Perhaps you need to 'use' the module which defines that package first,
or make that module available in @INC (@INC contains: ./lib /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5).
安照上面的方法再装一个试试
perl -MCPAN -e shellinstall Net::Server还有个包没装
Can't locate Net/DNS.pm in @INC (@INC contains: ./lib /usr/local/lib64/perl5 /usr/local/share/perl5 /usr/lib64/perl5/vendor_perl /usr/share/perl5/vendor_perl /usr/lib64/perl5 /usr/share/perl5) at lib/INetSim/DNS.pm line 19.一样的
install Net::DNS
这是这个模块的依赖(dependency)没有好，我们安装提示安装这两个包
install Digest::MD5
这个失败了
但是我们可以通过YUM的方式来安装
yum install perl-Digest-MD5这里有个小技巧，聪明的同学应该看出来了，module名和yum仓库的包名对应关系
install Digest::HMAC这个成功了
然后我们再去修复那个DNS的问题
install Net::DNS然后现在安装就可以安装上了，再看看还缺了什么依赖
然后我再启动
可以看出这里有个logfile打不开的问题
在配置文件（如果把安装包直接丢/root/下面了，因为运行时候会用不是root的账号去运行，所以会出现Permission denied）
/home/inetsim/inetsim-1.2.6/conf/inetsim.conf里面，有这么一行配置文件
#########################################
# service_run_as_user
#
# User to run services
#
# Syntax: service_run_as_user 把下面这个注释去掉，用inetsim这个用户来运行这个软件，之前Default: nobody嘛
这个nobody用户不在组inetsim里面
所以会报错
改完配置之后，我们添加用户inetsim
useradd inetsim -g inetsim然后回到目录
/home/inetsim/chown -R inetsim:inetsim inetsim-1.2.6为了保证运行时所需的任何权限，我们也加上这步骤（虽然这会存在很大的安全问题，但是我们又不挂在公网上面，只是内网虚拟机分析，可以容忍，如果不这样做，启动的时候会一堆的缺少写或者读(r/w)权限问题
chmod 777 -R inetsim-1.2.6
就像这样的
然后就可以运行了
这个smtp启动失败不知道是什么原因…（玄学问题吧）
配置
配置inetsim
这里我只是说一下我的配置方式，不一定非要安装我的来配，仅供参考
service_bind_address 127.0.0.1然后这个刚刚说过了
service_run_as_user inetsim然后这里按照你分析的恶意代码需求来配
dns_static www.foo.com 10.10.10.10
dns_static ns1.foo.com 10.70.50.30
dns_static ftp.bar.net 10.10.20.30也可以用ApateDNS来做这个DNS
不过要注意就是ApateDNS只能在Windows机器上使用
这里不要使用Default的版本号，就怕恶意代码作者会做一些反逆向分析措施
dns_version "9.2.4"然后这里也是一样的
http_version "Microsoft-IIS/4.0"然后这里安装你的需求来设置欺骗路径
http_fakefile txt sample.txt text/plain
http_fakefile htm sample.html text/html
http_fakefile html sample.html text/html
http_fakefile php sample.html text/html
http_fakefile gif sample.gif image/gif
http_fakefile jpg sample.jpg image/jpeg
http_fakefile jpeg sample.jpg image/jpeg
http_fakefile png sample.png image/png
http_fakefile bmp sample.bmp image/x-ms-bmp
http_fakefile ico favicon.ico image/x-icon
http_fakefile exe sample_gui.exe x-msdos-program
http_fakefile com sample_gui.exe x-msdos-program这里看你分析的恶意代码有没有下载exe文件的需求了，如果有，随便丢一个小程序放在你自己的某个目录下，然后编辑这里来使起生效
#http_static_fakefile /path/ sample_gui.exe x-msdos-program
#http_static_fakefile /path/to/file.exe sample_gui.exe x-msdos-program然后这个https的pem文件，最偷懒的办法就是复制原来的default_*.pem文件为新的这个文件，如https_key.pem等等，然后取消相应的注释就行了（这些文件在data/cert/下面）
https_ssl_keyfile https_key.pem然后我们可以通过下面这个命令生成https_dh1024.pem
openssl gendh -5 -out https_dh1024.pem 1024然后取消注释
https_ssl_dhfile https_dh1024.pem下面的smtp_ssl也是照这个思路来
然后改完之后记得增加perl的这个模块
yum install openssl-devel openssl-libs
perl -MCPAN -e shell
install IO::Socket::SSL如果安装完上面这些这个还不行，不过还是建议你用下面这种方法
试试这个
yum install perl-IO-Socket-SSL
然后可以看见现在没有not SSL support了，支持SSL了
然后还有就是注意这个（尽量CentOS 7 不要使能这个选项，因为CentOS 7没有iptables的libipq.h这个头文件，没法支持）
#redirect_enabled yes把重定向地址改成自己
redirect_external_address 127.0.0.1然后记得安装这几个库如果想开重定向的话
perl -MCPAN -e shell
install IPTables::IPv4::IPQueue为了安装上这些东西，你还需要
yum install gcc iptables-devel但是这个我没安装成功，建议还是不要重定向了
然后到此位置，你的INetSim已经安装完成（但是我的smtp没法启动是什么鬼）
(2017-8-30)事后查明是配置文件中这里不要用127.0.0.1,smtp就可以很好启动了
下一步就是开放需要的端口
这个因为是我是centos7，所以就不说了，其他发行版的都有自己的方法
Forking services...
* dummy_1_tcp - started (PID 2718)
* ident_113_tcp - started (PID 2704)
* syslog_514_udp - started (PID 2705)
* echo_7_tcp - started (PID 2710)
* discard_9_udp - started (PID 2713)
* quotd_17_tcp - started (PID 2714)
* finger_79_tcp - started (PID 2703)
* discard_9_tcp - started (PID 2712)
* ntp_123_udp - started (PID 2702)
* time_37_tcp - started (PID 2706)
* daytime_13_tcp - started (PID 2708)
* echo_7_udp - started (PID 2711)
* chargen_19_tcp - started (PID 2716)
* chargen_19_udp - started (PID 2717)
* dummy_1_udp - started (PID 2719)
* irc_6667_tcp - started (PID 2701)
* time_37_udp - started (PID 2707)
* quotd_17_udp - started (PID 2715)
* tftp_69_udp - started (PID 2700)
* daytime_13_udp - started (PID 2709)
* dns_53_tcp_udp - started (PID 2691)
* smtps_465_tcp - started (PID 2695)
* ftps_990_tcp - started (PID 2699)
* ftp_21_tcp - started (PID 2698)
* pop3_110_tcp - started (PID 2696)
* smtp_25_tcp - started (PID 2694)
* https_443_tcp - started (PID 2693)
* pop3s_995_tcp - started (PID 2697)
* http_80_tcp - started (PID 2692)我做好了一个centos7版本的INetSim镜像，为了方便其他的恶意代码分析，在百度云上，下载地址在这里
链接: http://pan.baidu.com/s/1c6NqqU 密码: gj4i
镜像是VirtualBox 导出的ovf1.0版本，不保证VMware能导入成功，但保证VirtualBox能导入成功
系统的默认IP是192.168.0.107（记得在/home/inetsim/inetsim-xx/conf/inetsim.conf里面更改一下ip地址，改成你现在机器DHCP所得的IP
用户名root
密码test
/root/目录下有个一个inetsim启动的软链接（这个后来我发现没法用，因为是在/root/的目录下，然后程序用inetsim这个用户运行的时候会报错，但是导都导了，传都传了，大家就去/home/inetsim/inetsim-1.2.6/下，执行inetsim这个可执行文件就可以启动，和一个打开所有端口的脚本openport.sh（这个可以正常用）
安装文件在/root/下有个原版压缩包，解压后放在了/home/inetsim/下、
本文完