tài liệu trên nằm trong một đề quản lí an toàn thông tin do sinh viên trương ptit thực hiện, nội dung báo cáo là cài đặt, thử nghiệm phần mềm cuckoo sand bõ là một công cụ mạnh trong việc rà soát, kiểm thử điểm yếu các trang Wed
1 Giới Thiệu Về Cuckoo Sanbox Cuckoo Sanbox hệ thống phân tích tự động mã nguồn mở tự động hàng đầu Bạn ném tập tin đáng ngờ vào vài phút Cuckoo cung cấp báo cáo chi tiết phác hoạ hành vi tập tin thực bên mơi trường thực tế bị lập Phân tích nhiều tệp tin độc hại khác (tệp thi hành, tài liệu văn phòng, tệp pdf, email ) trang web độc hại Windows, Linux, Mac OS X mơi trường ảo hóa Android Các gọi API Trace hành vi chung tập tin chưng cất thông tin mức độ cao chữ ký hiểu Loại bỏ phân tích lưu lượng mạng, mã hóa SSL / TLS Với hỗ trợ định tuyến mạng cục để thả tất lưu lượng truy cập tuyến đường qua InetSIM, giao diện mạng VPN Thực phân tích nhớ tiên tiến hệ thống ảo hóa bị nhiễm bệnh thông qua Sự biến động trình xử lý hạt nhớ cách sử dụng YARA Do tính chất nguồn mở Cuckoo thiết kế modun mở rộng, tùy chỉnh khía cạnh mơi trường phân tích, xử lý kết phân tích giai đoạn báo cáo Cuckoo cung cấp cho bạn tất yêu cầu để dễ dàng tích hợp sandbox vào khuôn khổ bạn phụ trợ theo cách bạn muốn, với định dạng mà bạn muốn, tất điều mà khơng có u cầu cấp phép Tạo người dùng Bạn chạy Cuckoo từ người dùng riêng bạn tạo Cuckoo dành cho thiết lập Đảm bảo người dùng chạy Cuckoo người dùng tương tự mà bạn sử dụng để tạo chạy máy ảo (ít trường hợp VirtualBox), không Cuckoo xác định khởi chạy Máy Ảo Tạo người dùng mới: $ sudo adduser cuckoo Nếu bạn sử dụng VirtualBox, đảm bảo người dùng thuộc nhóm "vboxusers" (hoặc nhóm bạn sử dụng để chạy VirtualBox): $ sudo usermod -a -G vboxusers cuckoo Nếu bạn sử dụng KVM modun dựa libvirt khác, đảm bảo người dùng thuộc nhóm "libvirtd" (hoặc nhóm phân phối Linux bạn sử dụng để chạy libvirt): $ sudo usermod -a -G libvirtd cuckoo Tăng giới hạn tệp Quá nhiều tệp mở bạn muốn vượt qua giới hạn số lượng tệp tin trước bắt đầu Cuckoo khơng số mẫu không xử lý báo cáo (do mở nhiều tệp cho phép Hoạt động Hệ thống) Cài đặt Cucuco Cài đặt phiên Cuckoo đơn giản sau $ sudo pip cài đặt -U pip setuptools $ sudo pip cài đặt -U cuckoo Mặc dù trên, cài đặt toàn cầu Cuckoo hệ điều hành bạn hoạt động tốt, khuyên bạn nên cài đặt Cuckoo virtualenv, sau: $ virtualenv venv $ venv / bin / kích hoạt (venv) $ pip cài đặt -U pip setuptools (venv) $ pip cài đặt -U cuckoo Một số lý để sử dụng virtualenv: • • • Các phụ thuộc Cuckoo khơng hồn tồn cập nhật, thay vào phiên biết đến với công việc Sự phụ thuộc phần mềm khác cài đặt hệ thống bạn xung đột với yêu cầu Cuckoo, yêu cầu phiên không tương thích (và có, điều xảy Cuckoo hỗ trợ phiên nhất, đơn giản phần mềm khác ghim vào phiên cũ hơn) Sử dụng virtualenv cho phép người dùng khơng phải root cài đặt gói bổ sung nâng cấp Cuckoo vào thời điểm sau Cài đặt Cuckoo từ tệp Bằng cách tải xuống Gói Cuckoo cài đặt ngoại tuyến , người ta thiết lập Cuckoo cách sử dụng lưu nhớ cache có lưu phiên Cuckoo tương lai Chúng tơi có tùy chọn để tải tarball trang web chúng tơi Có Tarball Cuckoovà tất phụ thuộc tay thực sau: $ pip download cuckoo Bạn kết thúc với tập tin Cuckoo-2.0.0.tar.gz(hoặc số cao hơn, tùy thuộc vào phiên phát hành ổn định) tất phụ thuộc (ví dụ, alembic-0.8.8.tar.gz) Cài đặt phiên xác Cuckoo thực bạn quen với việc cài đặt cách sử dụng piptrực tiếp, ngoại trừ sử dụng tên tệp tarball: $ pip cài đặt Cuckoo-2.0.0.tar.gz Trên hệ thống khơng có kết nối internet, lệnh sử dụng để tìm nạp tất phụ thuộc cần thiết lý nên cài đặt Cuckoo hoàn toàn ngoại tuyến cách sử dụng tệp đó, tức cách thực sau:$ pip download cuckoo $ pip install * tar.gz Cuckoo Working Directory Tất thành phần cấu hình, liệu tạo ra, kết Cuckoo lưu thư mục Những tệp bao gồm không giới hạn điều sau: • Configuration • Cuckoo Signatures • Cuckoo Analyzer • Cuckoo Agent • Yara rules • Cuckoo Storage (where analysis results go) • And much more Cấu hình Nếu bạn cập nhật thiết lập Cukoo cho phiên hơn, bạn gặp phải vấn đề mà bạn phải thực lưu cấu hình, cập nhật Cuckoo bạn khơi phục lại cấu hình áp dụng lại hồn tồn Với đời CWDchúng tơi nhận khỏi ác mộng cập nhật Lần bạn chạy Cuckoomột CWDkiểm tra tạo cho bạn tự động, điều nhiều diễn sau: Như thông điệp thông tin bạn tìm thấy bạn CWD /home/cuckoo/.cuckoovì mặc định ~/.cuckoo Tất tập tin cấu bạn biết chúng tìm thấy $CWD/confthư mục Ví dụ$CWD/conf/cuckoo.conf, $CWD/conf/virtualbox.confvv Bây CWDthư mục khơng phải phần Cuckoo nó, là, kho Git phần phiên nhất, nâng cấp Cuckoo mà khơng cần phải chạm vào CWD (Tất nhiên cập nhật cài đặt yêu cầu Cấu hình cập nhật Cuckoo hướng dẫn người dùng thơng qua - thay ghi đè lên tệp Cấu hình nó) Đường dẫn CWD Mặc dù CWDmặc định ~/.cuckoođường dẫn hồn tồn cấu hình Sau liệt kê thứ tự ưu tiên cho Cuckoo để xác định CWD • Thơng qua cwdtùy chọn dòng lệnh (ví dụ, ).-cwd ~/.cuckoo • Thơng qua CUCKOObiến mơi trường (ví dụ, ).export CUCKOO=~/.cuckoo • Thông qua CUCKOO_CWDbiến môi trường • Nếu thư mục CWD(ví dụ, giả sử tạo thư mục đó).cd ~/.cuckooCWD • Mặc định ~/.cuckoo, Bằng cách sử dụng CWDđường dẫn thay , chạy nhiều trường hợp Cuckoo với cấu hình khác cách sử dụng thiết lập Nếu lý đó, người ta đòi hỏi phải có hai ba thiết lập riêng cho cuckoo, ví dụ trường hợp bạn muốn chạy phân tích Windows phân tích Android song song, sau khơng phải nâng cấp trường hợp lần cập nhật chắn bước tiến lớn Ví dụ để hiển thị cách cấu hình CWD ... sung nâng cấp Cuckoo vào thời điểm sau Cài đặt Cuckoo từ tệp Bằng cách tải xuống Gói Cuckoo cài đặt ngoại tuyến , người ta thiết lập Cuckoo cách sử dụng lưu nhớ cache có lưu phiên Cuckoo tương... /home /cuckoo/ .cuckoovì mặc định ~/ .cuckoo Tất tập tin cấu bạn biết chúng tìm thấy $CWD/confthư mục Ví dụ$CWD/conf /cuckoo. conf, $CWD/conf/virtualbox.confvv Bây CWDthư mục khơng phải phần Cuckoo. .. CUCKOObiến mơi trường (ví dụ, ).export CUCKOO= ~/ .cuckoo • Thơng qua CUCKOO_ CWDbiến mơi trường • Nếu thư mục CWD(ví dụ, giả sử tạo thư mục đó).cd ~/.cuckooCWD • Mặc định ~/ .cuckoo, Bằng cách sử dụng CWDđường