IceBox 使用教程

经优英

于 2025-04-04 09:44:41 发布

阅读量908

点赞数 11

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00500/article/details/146994746

IceBox 使用教程

icebox Virtual Machine Introspection, Tracing & Debugging 项目地址: https://gitcode.com/gh_mirrors/ic/icebox

1. 项目介绍

IceBox 是一个基于虚拟机内省（Virtual Machine Introspection，简称 VMI）技术的解决方案，它能够悄无声息地追踪和调试任何进程（无论是内核进程还是用户进程）。IceBox 项目基于 Winbagility 项目进行开发，旨在为安全研究人员和开发者提供一个强大的分析工具。

2. 项目快速启动

安装 IceBox

首先，你需要按照以下步骤安装 IceBox：

# 克隆项目仓库
git clone https://github.com/thalium/icebox.git

# 进入项目目录
cd icebox

# 安装依赖
# （此处需要根据项目提供的 INSTALL.md 文件中的具体说明进行操作）

构建 IceBox

安装完依赖后，你可以通过以下命令构建项目：

# 构建项目
make

构建完成后，你会在 bin/$ARCH/ 目录下找到可执行文件。

运行 IceBox

以下是几个 IceBox 的命令行工具的使用示例：

vm_resume: 暂停并恢复虚拟机。
```
cd bin/$ARCH/
./vm_resume <vm_name>
```
nt_writefile: 当进程调用 ntdll!NtWriteFile 时中断，并将写入内容转储到主机上的文件中。
```
cd bin/$ARCH/
./nt_writefile <vm_name> <process_name>
```
heapsan: 当进程进行内存分配时中断，并在每个指针前后添加填充。
```
cd bin/$ARCH/
./heapsan <vm_name> <process_name>
```
wireshark: 当网络驱动读取或发送网络包时中断，并创建 wireshark 跟踪文件（.pcapng）。
```
cd bin/$ARCH/
./wireshark <name> <path_to_capture_file>
```