Cuckoo架构

淩亂°似流年 2021-12-17 07:05 161阅读 0赞

cuckoo在部署阶段，只在Guest系统里塞了一个agent，这个agent在运行阶段负责与Host端程序进行通信，从Host端接收sample, 整个客户端程序，以及配置文件。

在Host端主要的源文件为：

./lib/cuckoo/core/scheduler.py

class AnalysisManager(Thread):

def acquire_machine(self):

// 获得虚拟机

def build_options(self):

//生成.conf配置文件

def launch_analysis(self):

//启动分析过程

def process_results(self):

//生成分析结果报告

launch\_analysis会调用：

agent/agent.py

def add_malware(self, data, name):

def add_config(self, options):

def add_analyzer(self, data):

def execute(self):

执行analyser.py，由Host上传到Guest上的分析程序包含如下结构：

└── windows

├── analyzer.py

├── bin

│   └── execsc.exe

├── dll

│   ├── cuckoomon_bson.dll

│   ├── cuckoomon.dll

│   └── cuckoomon_netlog.dll

├── lib

│   ├── api

│   │   ├── __init__.py

│   │   ├── process.py

│   │   └── screenshot.py

│   ├── common

│   │   ├── abstracts.py

│   │   ├── constants.py

│   │   ├── defines.py

│   │   ├── errors.py

│   │   ├── exceptions.py

│   │   ├── __init__.py

│   │   ├── rand.py

│   │   └── results.py

│   ├── core

│   │   ├── config.py

│   │   ├── __init__.py

│   │   ├── packages.py

│   │   ├── privileges.py

│   │   └── startup.py

│   └── __init__.py

└── modules

├── auxiliary

│   ├── disguise.py

│   ├── human.py

│   ├── __init__.py

│   └── screenshots.py

├── __init__.py

└── packages

├── applet.py

├── bin.py

├── cpl.py

├── dll.py

├── doc.py

├── exe.py

├── generic.py

├── html.py

├── ie.py

├── __init__.py

├── jar.py

├── pdf.py

├── vbs.py

├── xls.py

└── zip.py

具体的inject方法在该包的api/process.py下面

def inject(self, dll=None, apc=False):

inject方法支持两种注入方式：

QueueUserAPC

CreateRemoteThread

这两种方式的原理都是一样的，都是用LoadLibrary来替换回调函数，同时将需要加载的dll名称作为回调的参数传递给回调函数，这样回调函数一执行，相应的dll就被加载到了进行的地址空间中。

在./analyser/windows/modules/packages/下面有对于各个文件格式的sample的启动代码，基本上都是：

p = Process()

p.execute()

p.inject(dll)

p.resume()

p.close()

基本上就是，先找到启动某一类型文件的程序，然后启动它，并且注入dll进行监控。

对于shellcode，使用execsc.exe执行这段shellcode。

execsc.exe的主要源码为：

// jump into shellcode

int (*func)();

func = (int (*)()) buf;

(int)(*func)();

转载于:https://www.cnblogs.com/long123king/p/3603595.html

Cuckoo架构

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 ubuntu 安装cuckoo沙箱环境

相关 Cuckoo安装指南（二）

相关 Cuckoo安装指南（一）

相关 bloom filter与Cuckoo Filter

相关 cuckoo的配置以及启动场景问题分析

相关 cuckoo安装指南（四）

相关 cuckoo安装指南（三）

相关自动化恶意软件分析系统Cuckoo安装、配置详解

相关 Cuckoo Sanbox（杜鹃沙箱）恶意软件自动化分析系统

相关 Cuckoo架构