【杜鹃沙盒】Cuckoo SandBox学习笔记

【杜鹃沙盒】Cuckoo SandBox学习笔记

 这是个github上开源前十的项目之一,笔者只完成学习了部分功能,前来分享点经验

  整个工程 连接地址 :https://github.com/cuckoosandbox/cuckoo

0x01调试运行 学习代码很关键的就是调试了 所以首先奉上点调试小技巧

       一个编译器最基本的就是调试了,所以先介绍下基本的调试啊

F9:调试运行,调试运行的过程中按F9,会直接走到下一个断点。

F8:单步运行,相当于VS的F10

F7:也是单步运行,不过近函数,相当于VS的F11

Ctrl+Alt+B:进函数 查看函数的具体内荣,相当实用,必备

Ctrl+F:搜索关键的变量函数,查看函数或者变量之间拖拽到watches里面进去就行了

 

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第1张图片

0x02 函数讲解篇

       首先是读配置文件的信息 

       第一箭头,合成的绝对路径

 

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第2张图片

读的过程很明细了 调试结合配置文件信息

Section = config(文件名),Key = hello_world此类的 keyvalue=on

这样变历就可以把配置文件关键信息一一读取出来

【杜鹃沙盒】Cuckoo SandBox学习笔记_第3张图片

 

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第4张图片

然后设置Server的信息 定了个类,配置Server类的相关信息,端口,IP,注入文件的路径,分析包的类型什么的

【杜鹃沙盒】Cuckoo SandBox学习笔记_第5张图片

 

然后判断是否PE文件 exe.sys.dll中一个,这是属于分析PE文件那一块儿的

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第6张图片

 

接下就是同样相似的步骤配置我们的虚拟机的相关信息,过程差不多,这里就不贴代码讲解了

然后是利用TCP 绑定端口,开启线程监听

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第7张图片

 

 对端口进行监听,然后就可以开启我们的XML-RPC构建主机方面的连接了  url = http://192.168.1.10:8000  

【杜鹃沙盒】Cuckoo SandBox学习笔记_第8张图片

既然你要连接人家,构建好了好之后当然要进行连接,下面是等待虚拟机的连接

用了个延迟等待的函数,然后判断GetSatutau()得到链接状态,一旦连接上 退出等待 开始分析

 【杜鹃沙盒】Cuckoo SandBox学习笔记_第9张图片

 

然后构建需要传输文件的路径,遍历,压缩 ,使用xmlrpclib.Binary(zip_Data.getvalue())

传送压缩包.os_walk遍历路径,压缩传送分析目录的所有文件

【杜鹃沙盒】Cuckoo SandBox学习笔记_第10张图片

 

 

虚拟机进行解压

虚拟机接受到相应需要分析的文件后就可以开始注入分析了

接下来就可以构建分析线程文件的路径,subprocess.Popen.开启线程,启动分析

【杜鹃沙盒】Cuckoo SandBox学习笔记_第11张图片

而客户端主要是这几句,使用SimpleXMLRPCServer,构建RPC连接  函数的调用都在服务端

【杜鹃沙盒】Cuckoo SandBox学习笔记_第12张图片

Analyzer.py分析过程不是很难,提权,创建管道,进程间通信,然后调用写好的,LoadExe.exe,Target.exe,Dll,进行注入就OK了 ,大部分注入的功能都实现在C++里面,主要有远程注入和APC注入;

【杜鹃沙盒】Cuckoo SandBox学习笔记_第13张图片

最后附上 成功运行结果  希望对学习 这款恶意分析系统的人有所帮助

【杜鹃沙盒】Cuckoo SandBox学习笔记_第14张图片

 

posted @ 2017-03-05 11:41 Clay- 阅读( ...) 评论( ...) 编辑 收藏

你可能感兴趣的:(【杜鹃沙盒】Cuckoo SandBox学习笔记)