Cuckoo架构

cuckoo在部署阶段，只在Guest系统里塞了一个agent，这个agent在运行阶段负责与Host端程序进行通信，从Host端接收sample, 整个客户端程序，以及配置文件。

在Host端主要的源文件为：

./lib/cuckoo/core/scheduler.py

class AnalysisManager(Thread):
    def acquire_machine(self):
// 获得虚拟机
    def build_options(self):
//生成.conf配置文件
    def launch_analysis(self):
//启动分析过程
    def process_results(self):
//生成分析结果报告

launch_analysis会调用：

agent/agent.py
    def add_malware(self, data, name):
    def add_config(self, options):
    def add_analyzer(self, data):
    def execute(self):

执行analyser.py，由Host上传到Guest上的分析程序包含如下结构：

.
└── windows
    ├── analyzer.py
    ├── bin
    │   └── execsc.exe
    ├── dll
    │   ├── cuckoomon_bson.dll
    │   ├── cuckoomon.dll
    │   └── cuckoomon_netlog.dll
    ├── lib
    │   ├── api
    │   │   ├── __init__.py
    │   │   ├── process.py
    │   │   └── screenshot.py
    │   ├── common
    │   │   ├── abstracts.py
    │   │   ├── constants.py
    │   │   ├── defines.py
    │   │   ├── errors.py
    │   │   ├── exceptions.py
    │   │   ├── __init__.py
    │   │   ├── rand.py
    │   │   └── results.py
    │   ├── core
    │   │   ├── config.py
    │   │   ├── __init__.py
    │   │   ├── packages.py
    │   │   ├── privileges.py
    │   │   └── startup.py
    │   └── __init__.py
    └── modules
        ├── auxiliary
        │   ├── disguise.py
        │   ├── human.py
        │   ├── __init__.py
        │   └── screenshots.py
        ├── __init__.py
        └── packages
            ├── applet.py
            ├── bin.py
            ├── cpl.py
            ├── dll.py
            ├── doc.py
            ├── exe.py
            ├── generic.py
            ├── html.py
            ├── ie.py
            ├── __init__.py
            ├── jar.py
            ├── pdf.py
            ├── vbs.py
            ├── xls.py
            └── zip.py

具体的inject方法在该包的api/process.py下面

def inject(self, dll=None, apc=False):

inject方法支持两种注入方式：

QueueUserAPC
CreateRemoteThread

这两种方式的原理都是一样的，都是用LoadLibrary来替换回调函数，同时将需要加载的dll名称作为回调的参数传递给回调函数，这样回调函数一执行，相应的dll就被加载到了进行的地址空间中。

在./analyser/windows/modules/packages/下面有对于各个文件格式的sample的启动代码，基本上都是：

p = Process()
p.execute()
p.inject(dll)
p.resume()
p.close()

基本上就是，先找到启动某一类型文件的程序，然后启动它，并且注入dll进行监控。

对于shellcode，使用execsc.exe执行这段shellcode。

execsc.exe的主要源码为：

// jump into shellcode
int (*func)();
func = (int (*)()) buf;
(int)(*func)();