# DRAKVUF Sandbox 虚拟机监控器级恶意软件分析沙箱

> CERT Polska 基于 DRAKVUF 引擎构建的自动化黑盒恶意软件分析系统，借助虚拟机自省从 Xen 虚拟机监控器一侧观察 Windows 客户机，无需在客户机中安装代理。通过 Web 界面或命令行提交的样本在恢复的快照中运行，报告涵盖进程树、WinAPI、文件与网络活动、PCAP、截获的 TLS 密钥、内存转储、截图以及基于 capa 的 TTP 指标。drakrun 安装命令负责构建 Windows 客户机、快照及 VMI 配置文件。

- 类型：工具
- 目标：二进制
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-10-20
- 收录于：2026-11-02
- 原始资源：<https://github.com/CERT-Polska/drakvuf-sandbox>
- 一手来源：<https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/drakvuf-sandbox/>
- 记录 JSON：<https://awesomerea.org/resources/drakvuf-sandbox/record.json>
- 英文版：[English](https://awesomerea.org/resources/drakvuf-sandbox/index.md)

## 使用条件与局限

- 所审阅的 master 提交即 2026-08-19 发布的 v0.21.0，GitHub 发布页以 Python wheel 形式提供；drakvuf-sandbox 软件包包含 drakrun 命令行、Web 应用和工作进程，要求 Python 3.9+ 并固定依赖版本，其中包括 flare-capa 7.4.0。主机需要支持 VT-x 和 EPT 的 Intel 处理器，运行 Debian 12 或 Ubuntu 22.04 并通过 GRUB 引导进入 Xen 4.17+（推荐 4.19）；入门指南要求至少两个核心和 8 GB 内存，README 则写 5 GB。Xen、LibVMI 和 DRAKVUF 引擎可使用预编译 .deb 软件包或从源码构建，另需安装 Redis、dnsmasq、tcpdump 等主机软件包，文档中的安装步骤均以 root 身份执行。
- 客户机为 Windows 10 x64（2004 或更高版本，推荐 22H2）或 Windows 7 x64，由 drakrun install 使用使用者自备的 Windows 安装 ISO 安装，经 VNC 完成设置，再由 drakrun postinstall 创建快照并生成配置文件。指南建议在参考快照中关闭 UAC 和 Windows Defender，并安装 Visual C++ 与 .NET 运行库；每次分析都可以切断客户机的互联网访问。嵌套虚拟化可在 Xen、KVM（实验性）以及启用虚拟化 EPT 的 VMware Workstation 下运行；不支持云主机、Hyper-V 和 VMware Fusion。
- 观测数据来自 DRAKVUF 插件：默认启用 apimon、filetracer、memdump、procmon、socketmon 和 tlsmon，regmon、syscalls、exmon 等为可选，Intel Processor Trace 相关插件在文档中标为实验性。文档提醒，插件过多会拖慢执行；监控在样本进程启动之后才开始；摘要中的观测基于 DRAKVUF 输出，确切的网络数据应查看 PCAP。S3 存储、ZFS 存储后端和 Karton 集成均为可选功能。
- 生成配置文件时，系统会把名为 drakshell 的小型 shellcode 代理注入 explorer.exe，用于执行准备命令。仓库包含 drakshell 及其他客户机辅助工具的源码、供完整性测试使用的 15 KB 样本 test/test.exe，以及固定版本的 DRAKVUF 和 Mandiant capa-rules 子模块。该测试套件需在需要项目凭据的 VM-runner 服务上安装沙箱，公开工作流只构建文档、工具、Web 包和 wheel，并检查 Python 代码规范。README 提醒维护沙箱并不容易，某些问题可能只在特定配置下复现。
- LICENSE 采用附加了作者澄清与例外条款的 GPL-2.0，其中包括对衍生作品的宽泛解释，并禁止与普通 GPL 软件组合，因此 GitHub 未识别出标准许可证；DRAKVUF 和 capa 规则各有其许可，Windows 客户机仍受 Microsoft 条款约束。这是在隔离客户机中运行不可信样本的防御性分析平台。

## 一手来源

1. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/README.md>
2. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/docs/usage/getting_started.rst>
3. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/docs/usage/basic_usage.rst>
4. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/docs/usage/optional_features.rst>
5. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/docs/ipt.rst>
6. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/setup.py>
7. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/requirements.txt>
8. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/.gitmodules>
9. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/test/test_sanity.py>
10. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/test/conftest.py>
11. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/.github/workflows/build.yml>
12. <https://github.com/CERT-Polska/drakvuf-sandbox/blob/7c328ab48bfe07b99c896c8695b7e51edf431ceb/LICENSE>
13. <https://github.com/CERT-Polska/drakvuf-sandbox/releases/tag/v0.21.0>

## 同分区更多条目：原生二进制

- [HexRaysPyTools 结构体重建插件](https://awesomerea.org/zh/resources/hexrayspytools/index.md) · 工具
- [CAPEv2 恶意软件沙箱](https://awesomerea.org/zh/resources/capev2/index.md) · 工具
- [LuaDec：Lua 字节码反编译器](https://awesomerea.org/zh/resources/luadec/index.md) · 工具
- [xpcspy XPC 消息拦截工具](https://awesomerea.org/zh/resources/xpcspy/index.md) · 工具
- [de4py Python 反混淆与分析工具包](https://awesomerea.org/zh/resources/de4py/index.md) · 工具
- [Dwarf 基于 Frida 的多平台调试器](https://awesomerea.org/zh/resources/dwarf-debugger/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。