Во время установки через `apt` будут запрошены различные настройки. Как правило, можно принимать параметры по умолчанию. Единственная настройка, требующая внимания, — это адрес подсети, используемый сетью mofos libvirt (по умолчанию: `192.168.90.0/24`).

ИЛИ 

Установите следующие зависимости:
- guestfs-tools
- libnotify-bin
- libvirt
- libvirt-clients
- libvirt-daemon
- make
- python3-click
- python3-click-completion
- python3-colorama
- python3-cryptography
- python3-dbus
- python3-jinja2
- python3-lxml
- python3-prettytable
- python3-pyroute2
- python3-tqdm
- qemu-system-common 
- qemu-system-modules-spice
- socat
- spice-client-gtk
- sudo
- virtinst
- virt-install
- virtiofsd
- virt-manager
- virt-viewer```
make install_files

### Вопросы безопасности

Использование системных сеансов QEMU/KVM улучшает изоляцию между хостом и гостевыми виртуальными машинами за счёт запуска экземпляров qemu под выделенным пользователем (`libvirt-qemu`) и применения к каждому экземпляру определённых профилей безопасности.

Однако по умолчанию обычные пользователи не могут взаимодействовать с системным сокетом `libvirtd` для управления машинами, сетями и другими ресурсами. Чтобы получить доступ, пользователи должны либо входить в группу Unix libvirt, либо использовать sudo. Исторически сложилось так, что уязвимости локального повышения привилегий использовали членство в группе libvirt для получения root-привилегий.

Чтобы снизить эти риски, данный репозиторий предоставляет усиленный профиль AppArmor для процесса `libvirtd` в системах, использующих AppArmor. Этот профиль существенно ограничивает, куда `libvirtd` может записывать файлы и какие программы он может выполнять.

Кроме того, включены правила `polkit` для дальнейшего контроля действий, разрешённых членам группы `libvirt`.

Обратите внимание, что профили AppArmor включены в пакет `deb`, но не устанавливаются целью `install_files` из Makefile, поэтому их необходимо устанавливать отдельно.

## Конфигурация Mofos

Для корректной работы Mofos требуется файл конфигурации, расположенный по пути `$HOME/.config/mofos/config.toml`, с минимальными настройками. Пример минимальной конфигурации можно найти в `/usr/share/mofos/config.minimal.toml`, а более полная конфигурация описана в `/usr/share/mofos/config.sample.toml`.

Следующая ошибка указывает на то, что файл конфигурации не был найден:```
[-] Copy the sample configuration file from /usr/share/mofos/config.minimal.toml to ~/.config/mofos/config.toml

Ключевые параметры конфигурации, которые необходимо настроить в файлах конфигурации, следующие:
- key (path): файл закрытого ключа SSH, используемый для доступа к виртуальным машинам. Рекомендуется создать отдельный ключ для этой цели.
- user (string): имя пользователя для SSH-доступа к виртуальным машинам.
- root_password (hashed value): хешированный пароль root, который будет установлен во время установки нового шаблона.
- root_ssh_pubkey (string): открытый ключ SSH, который будет установлен в каталоге пользователя root во время установки шаблона.

Кроме того, для установки шаблона необходимо настроить следующие параметры:
- ntp
- dns (необязательно, если указан прокси)
- proxy

## Установка шаблона

### Настройка брандмауэра

Поскольку процесс установки зависит от PXE-загрузки по сети (PXE netboot), требуется активное интернет-соединение. Следует настроить следующие правила брандмауэра:```
sysctl net.ipv4.ip_forward=1
iptables -t nat -I POSTROUTING -s 192.168.90.0/24 -j MASQUERADE
iptables -t nat -I POSTROUTING -s 192.168.91.0/24 -j MASQUERADE

Когда параметр `ip_forward` установлен в 1, цепочка FORWARD должна быть настроена таким образом, чтобы предотвратить использование хоста в качестве маршрутизатора другими устройствами в сети.

В целом рекомендуются следующие правила:```
iptables -I INPUT -i mof0 -p udp --sport 68 --dport 67 -j ACCEPT -m comment --comment "mofos dhcp"
iptables -I INPUT -i mof0 -p udp --dport 69 -j ACCEPT -m comment --comment "mofos tftp"
iptables -I OUTPUT -o mof0 -j ACCEPT -m comment --comment "host -> mofos"
iptables -I FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD -i mof0 -j ACCEPT -m comment --comment "mofos ->"
iptables -t nat -I POSTROUTING -s 192.168.90.0/24 -j MASQUERADE
iptables -t nat -I POSTROUTING -s 192.168.91.0/24 -j MASQUERADE

chain input {
  type filter hook input priority 0; policy drop
  
  iifname "install-*" ip daddr 255.255.255.255 udp sport 68 udp dport 67 accept comment "mofos dhcp"
  iifname "mof0" ip daddr 255.255.255.255 udp sport 68 udp dport 67 accept comment "mofos dhcp"
  iifname "install-*" udp dport 69 accept comment "mofos tftp"
}

chain forward {
  type filter hook forward priority 0; policy drop
  
  ct state established,related accept;
  ct state invalid drop;
  
  iifname "mof0" counter accept
  iifname "install-*" counter accept
}

chain output {
  type filter hook output priority 0; policy drop
  
  oifname "mof0" counter accept
}

Рекомендуется ограничивать правила маскарадинга и пересылки в соответствии с вашими конкретными потребностями, чтобы предотвратить доступ виртуальных машин mofos ко всей сети хоста.

Изоляция между виртуальными машинами автоматически обеспечивается хуком libvirt, для корректной работы которого требуется nft.

### Установка

Первый шаг — создать начальный слой: шаблон. По умолчанию Mofos может установить шаблон на основе Debian 12.```
mofos template create debian-template

Вариант задан как `debian11`, поскольку в Debian 12 вариант `osinfo` для Debian 12 ещё не устанавливается через libvirt.

Чтобы установить другой дистрибутив, измените словарь, расположенный в `/usr/lib/python3/dist-packages/mofos/settings.py`.

При выполнении указанной выше команды Mofos загружает файлы netboot и кэширует архив `tar.gz` в `$HOME/.cache/template-installer`. В настоящее время, если архив netboot уже существует, Mofos не будет загружать его повторно. Это может вызывать ошибки, если кэшированный архив устарел. Если такие ошибки возникают во время установки, удаление кэшированного архива заставит Mofos загрузить обновлённую версию, что должно решить проблему.

Затем архив извлекается в `/tmp`, а libvirt настраивается для обслуживания его содержимого через TFTP.

Далее создаётся шаблонная виртуальная машина, которая настраивается на загрузку через PXE и устанавливает указанный дистрибутив с использованием предоставленного файла preseed (по умолчанию `/usr/share/mofos/templates/debian/preseed.cfg.j2`). Этот файл является шаблоном `jinja2`; перед копированием в корневой каталог TFTP в него подставляются переменные из файлов конфигурации (`ntp`, `proxy`, `dns`, `root_password`).

В конце установки сценарий `postinstall` помещается в каталог TFTP и выполняется на шаблоне. По умолчанию используется сценарий, расположенный по адресу `/usr/share/mofos/templates/postinstall.sh.j2`. Этот шаблон `jinja2` подставляет открытый SSH-ключ, который необходимо настроить на шаблоне.

Помимо настройки открытого SSH-ключа root, выполняются следующие операции:
- Отключается стандартный SSH-сервис и включается SSHD через виртуальные сокеты (vsock).
- Очищается файл `/etc/resolv.conf`.
- Таймаут GRUB устанавливается в 0 секунд.
- Устанавливается хук initramfs, который монтирует overlayfs при обнаружении раздела с меткой `overlay`.

После завершения установки виртуальная машина libvirt извлекается и сжимается в локальный файл `qcow2`, сохраняемый в текущем каталоге.```
$ mofos template create debian-template
[*] Installing debian-template
[*] Configure the SSH host key of the template
[*] Waiting for the installation to be complete
[*] Installation is complete
[*] Downloading the resulting qcow2 disk
[*] Compressing the disk
[*] Save template's public ssh host key
[+] Template installation finished
[+] Template disk is debian-template-disk.qcow2

Этот файл автоматически используется в процессе импорта.

### Импорт

Следующий шаг — импортировать созданный файл шаблона `qcow2` в Mofos.```
$ mofos template import debian-template debian-template-disk.qcow2 http://debian.org/debian/11 
[*] Uploading debian-template-disk.qcow2 to mofos pool
[*] Creating the virtual machine debian-template
[*] Configuring the template metadata
[*] Configuring the SSH key
[+] debian-template successfully imported

С этого момента шаблон можно запустить и открыть для изменения по мере необходимости.```
$ mofos start debian-template
$ mofos ls
+----+-----------------+---------+-------------+-------+-----+----------------+
| Id | Name            | State   | Description | Alias | Cid | IPv4 address   |
+----+-----------------+---------+-------------+-------+-----+----------------+
| 3  | debian-template | running |             |       | 3   | 192.168.90.202 |
+----+-----------------+---------+-------------+-------+-----+----------------+

## Создание пустого диска верхнего уровня

Следующая команда создаёт пустой верхний слой с указанной меткой на единственном разделе диска:```
$ mofos template create-overlay-disk

Имейте в виду, что SSH-подключения выполняются через виртуальные сокеты, поэтому вы не можете напрямую подключиться по SSH к только что созданной машине. Вместо этого необходимо использовать команду `mofos ssh`. В качестве альтернативы вы можете создать SSH-конфигурацию, указав `ProxyCommand ` для доступа к SSH-порту машины:```
$ mofos inventory --format ssh
Host debian-template
	User user
	PasswordAuthentication no
	IdentityFile /home/user/.ssh/id_ed25519
	ProxyCommand /usr/bin/mofos proxy-cmd %h
	CanonicalizeHostname=no

Host test
	User user
	PasswordAuthentication no
	IdentityFile /home/user/.ssh/id_ed25519
	ProxyCommand /usr/bin/mofos proxy-cmd %h
	CanonicalizeHostname=no

Во время сеанса `mofos ssh` заранее устанавливается сокет `ControlMaster` для ускорения последующих подключений. Именно поэтому MOTD не отображается.

## Настройка

Чтобы упростить настройку шаблонов и виртуальных машин, Mofos вводит концепцию хуков и тегов. Для каждого тега может выполняться соответствующий хук (Bash-скрипт), который выполняет автоматические действия на целевой виртуальной машине или шаблоне и настраивает его соответствующим образом.

Минимальные хуки расположены в `/usr/share/mofos/hooks`. Это простые Bash-скрипты, которые получают следующие входные данные:```
TAG=$1
NAME=$2
OS=$3
DISTRIB=$4
HOSTNAME=$5

Этот скрипт динамически создаёт инвентарь и запускает плейбук против него.

### Виртуальная машина — новый хук

Во время создания виртуальной машины можно использовать другой хук, например, для рандомизации имени хоста.

По умолчанию Mofos генерирует псевдоним на основе классического соглашения об именовании Windows (например, `DESKTOP-2BF9753`). Это имя, наряду с другой информацией, передаётся скрипту-хуку:```
#!/bin/bash

TAG=$1
NAME=$2
OS=$3
DISTRIB=$4
HOSTNAME=$5

if [ -z "${TAG}" ] || [ -z "${NAME}" ] || [ -z "${OS}" ] ; then
  exit 1
fi

if [ -z "${HOSTNAME}" ] ; then
  HOSTNAME="${NAME}"
fi

mofos run -u root "${NAME}" "echo ${HOSTNAME} > /etc/hostname && hostname ${HOSTNAME}"

Затем, при создании виртуальной машины, будет выполнен этот скрипт:```
$ mofos new test2 --tags test 
[*] New virtual machine name is test2
[+] Virtual machine test2 successfully created
[*] Triggering post install actions
[*] Create SSH known_hosts entries for test2
[*] Waiting for test2 to be up
[*] Running new hook: test
[+] test2 is ready

Аналогично этапу установки, на этом этапе также можно выполнять плейбуки Ansible. В этом случае команда `mofos inventory` может использоваться для генерации инвентаря Ansible, что упрощает процесс выбора и доступа к виртуальным машинам:```
$ mofos inventory 
{
    "_meta": {
        "hostvars": {
            "debian-template": {
                "ansible_host": "debian-template",
                "ansible_ssh_common_args": "-o ProxyCommand='/usr/bin/mofos proxy-cmd %h'  -o CanonicalizeHostname=no"
            },
            "test": {
                "ansible_host": "test",
                "ansible_ssh_common_args": "-o ProxyCommand='/usr/bin/mofos proxy-cmd %h'  -o CanonicalizeHostname=no"
            },
            "test2": {
                "ansible_host": "test2",
                "ansible_ssh_common_args": "-o ProxyCommand='/usr/bin/mofos proxy-cmd %h'  -o CanonicalizeHostname=no"
            }
        }
    },
    "debian": [
        "debian-template",
        "test",
        "test2"
    ],
    "test": [
        "test2"
    ]

### Virtual machine - hook start

Аналогично, хук запуска выполняется при запуске виртуальной машины. Обычно он используется для запуска сервисов, необходимых виртуальной машине.

Например, чтобы включить бесшовную интеграцию Windows внутри виртуальной машины, можно установить `Xpra`.

Сначала установите `ansible`:```
# apt install ansible

Translate the following Kitploit tool content.
This is chunk 63 of 104 from a longer Markdown document being translated in sequence.
The source language is en.
Target language: ru.
Content type: README chunk 63/104.

CHUNK-SPECIFIC RULES:
1. Translate ONLY natural language text. NEVER translate: code blocks, shell commands, file paths, URLs, package names, technical identifiers, CVE IDs, environment variable names.
2. Preserve ALL Markdown syntax EXACTLY as-is.
3. DO NOT add introductory headings like "## Chunk N", "## Part N", "## Continued from..." or "## Translation of chunk...". DO NOT add "End of chunk N" or "Content continues..." markers.
4. DO NOT add "..." ellipsis markers to indicate omission. Translate ONLY the exact text provided, character for character in structure.
5. Chunk boundaries are intentional. Preserve structure so chunks can be concatenated seamlessly without visual artifacts.
6. Return ONLY the translated text. No preamble, no commentary, no wrapping in code blocks, no JSON/YAML/XML, no arrays, no objects, no schemas, no key/value wrappers.
7. If the chunk starts mid-paragraph, continue translating from that point. Do not add a leading newline or indent unless it exists in the source.

INPUT:

После этого вы можете войти по SSH в эту учетную запись пользователя, если в конфигурации этот пользователь указан как используемый по умолчанию:```
$ mofos ssh test2
user@DESKTOP-2BF9753:~$ 

Этот плейбук устанавливает и настраивает Xpra и запускает службу `xpra` на виртуальной машине.

Удалённый сервис можно запустить вручную с помощью:```
user@DESKTOP-2BF9753:~$ systemctl --user start xpra

Вернувшись на виртуальную машину, установите дисплей на `:10` (по умолчанию), после чего можно запустить графическое приложение, и оно появится в среде рабочего стола хост-системы.```
user@DESKTOP-2BF9753:~$ export DISPLAY=:10
user@DESKTOP-2BF9753:~$ xterm

## Возможности

### Настройка уведомления при запуске или остановке ВМ

Чтобы получать информацию о запуске и остановке машин `libvirt/qemu`, хук `libvirt` `qemu` может быть изменён для указания имени пользователя хоста (по умолчанию `user`):```
# sed 's/USER = "user"/USER = "foobar"/' /etc/libvirt/hooks/qemu.d/90-mofos

Чтобы извлечь содержимое из буфера обмена X11 виртуальной машины:```
mofos clipboard out pentest-0

Что касается команд `route` и `pivot`, для настройки также можно указать DNS.

### Управление USB

Команда `mofos usb` позволяет управлять USB-устройствами.

Устройства идентифицируются по их ID (vendor_id:product_id), который необходим для команд attach и detach:```console
$ mofos ls usb
+-----------+------------------------------------------------+-------------+
| ID        | Device                                         | Attached to |
+-----------+------------------------------------------------+-------------+
| 0bda:8153 | Realtek, RTL8153 Gigabit Ethernet Adapter      |             |
| 046d:c077 | Logitech, Mouse                                |             |
| 0a5c:5842 | Broadcom Corp, 58200                           |             |
| 1bcf:28d2 | CN0Y9V728LG003AGBCJZA01, Integrated_Webcam_FHD |             |
+-----------+------------------------------------------------+-------------+
$ mofos usb attach pentest-1 0bda:8153
$ mofos usb
+-----------+------------------------------------------------+-------------+
| ID        | Device                                         | Attached to |
+-----------+------------------------------------------------+-------------+
| 0bda:8153 | Realtek, RTL8153 Gigabit Ethernet Adapter      | pentest-1   |
| 046d:c077 | Logitech, Mouse                                |             |
| 0a5c:5842 | Broadcom Corp, 58200                           |             |
| 1bcf:28d2 | CN0Y9V728LG003AGBCJZA01, Integrated_Webcam_FHD |             |
+-----------+------------------------------------------------+-------------+
$ mofos usb detach pentest-4 0bda:8153

Кроме того, предоставляемые политики AppArmor ограничивают каталоги, которые хост может сделать общими. Это сделано для того, чтобы пользователь не мог настроить общий доступ к каталогу `/etc` или корню файловой системы и изменять их, используя привилегии root внутри виртуальной машины. Поэтому необходимо изменить политику `usr.lib.qemu.virtiofsd`, чтобы разрешить общий доступ к произвольным каталогам.

Должны быть изменены две строки:```
@{SHARE_DIRS}=/data/libvirt/shares/*/ /home/user/Public/**/
[...]
pivot_root /data/libvirt/shares/*/,
pivot_root /home/user/Public/**/,

Чтобы не нарушать работу виртуальной машины, на которой должна быть смонтирована общая папка, если удалённый каталог не пуст, выдаётся предупреждение, и сценарий позволяет выполнить монтирование вручную.

Наконец, операция монтирования не является постоянной, и её необходимо повторять при каждой перезагрузке.

## Машины Windows

Чтобы создать виртуальные машины Windows, сначала необходимо вручную создать шаблонную машину. Диск этого шаблона затем используется в качестве backing file для создания дочерних машин. По умолчанию виртуальные машины Windows, созданные с помощью Mofos, не имеют предварительной настройки. Однако можно настроить Mofos на выполнение задач постконфигурации, таких как изменение имени хоста и добавление отдельной записи в файл `known_hosts`, с помощью хуков.

Для включения настройки после создания обязательны следующие предварительные условия:
- Сервер OpenSSH должен прослушивать соединения
- SSH-ключ должен быть настроен для беспрепятственной аутентификации от имени пользователя с правами администратора. Файл `authorized_keys` должен быть создан в `C:\Program Data\ssh\administrators_authorized_keys` и с конкретными ACL```powershell
$admin_group = "Administrators"
$system = "SYSTEM"

$acl = Get-Acl C:\ProgramData\ssh\administrators_authorized_keys
$acl.SetAccessRuleProtection($true, $false)
$administratorsRule = New-Object system.security.accesscontrol.filesystemaccessrule($admin_group,"FullControl","Allow")
$systemRule = New-Object system.security.accesscontrol.filesystemaccessrule($system,"FullControl","Allow")
$acl.SetAccessRule($administratorsRule)
$acl.SetAccessRule($systemRule)
$acl | Set-Acl

- SSH-ключ хоста шаблона Windows должен быть указан в `$HOME/.local/share/mofos/ssh.json`. Это обеспечит создание соответствующей записи `known_hosts` для каждой новой машины с ключом хоста шаблона.
- Метаданные шаблонной машины следует изменить, чтобы идентифицировать её как шаблон:```
mofos metadata update --set_template windows-server-template

## Пересечение IP-адресов

Виртуальные машины, созданные на основе одного и того же шаблонного диска, могут получить один и тот же IP-адрес, даже если MAC-адрес их сетевой карты меняется из-за DHCP-идентификатора. Это поведение можно изменить, отредактировав сетевую конфигурацию шаблона:

С systemd-networkd:```
[Match]
Name=eth0

[Network]
DHCP=yes
MulticastDNS=no
IPv6AcceptRA=no

[DHCP]
ClientIdentifier=mac