LitterBox

一个面向红队的自托管载荷分析沙箱。上传样本，对其运行静态/动态/EDR 分析，获取检测分数和触发指标明细——在载荷离开实验室之前，判断其是否已具备实战部署条件。

LitterBox 还可以将载荷分发到单独部署了 EDR 的 Windows 虚拟机（Elastic Defend 或 Fibratus），并将关联的检测告警拉取回结果页面。

尽管 LitterBox 主要为红队设计，但对于在恶意软件分析工作流中使用相同工具的蓝队同样适用。

文档

操作人员和开发人员文档位于 LitterBox Wiki。

安装

Windows

git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox
python -m venv venv
.\venv\Scripts\Activate.ps1
pip install -r requirements.txt
python litterbox.py            # add --debug for verbose logging

打开 http://127.0.0.1:1337。需要 Python 3.11+ 和管理员 shell。

Linux（Docker）

git clone https://github.com/BlackSnufkin/LitterBox.git
cd LitterBox/Docker
chmod +x setup.sh
./setup.sh

安装脚本会通过 KVM 创建一个 Windows 10 容器，并在其中运行 LitterBox。首次构建大约需要 1 小时。

• 安装监视器：http://localhost:8006
• RDP：localhost:3389（凭据位于 docker compose 文件中）
• LitterBox UI：http://127.0.0.1:1337，安装完成后即可使用

EDR 设置（可选）

将一个或多个 profile YAML 放入 Config/edr_profiles/ 目录，上传页面会在启动时自动加载它们。完整的分步教程见 wiki：Whiskers 代理 → Elastic Defend 设置 或 Fibratus 设置。

扫描器

捆绑的二进制文件位于 Scanners/ 目录下。此处记录了版本和最后更新日期，操作人员可一目了然地判断扫描器是否已是最新版本。

版本格式：当二进制来自上游 release 时，为 <release-version> 或 <release-version> (release)；当从源码构建时，为 <release-version> (\`)或仅```。最后更新日期为上游提交/release 的日期，而非本地构建日期。

当你更新扫描器时：替换其 Scanners/<Name>/ 目录下的二进制文件，并更新上表中的对应行（版本 + 日期）。

贡献

请参阅 CONTRIBUTING.md。请在个人 fork 的功能分支上进行开发。

支持 🍺

安全公告

• 仅限开发使用。 本平台专为测试环境设计。生产环境部署存在重大安全风险。
• 必须隔离运行。 仅在隔离的虚拟机或专用测试环境中运行。
• 不提供任何担保。 按现状提供，不附保证；使用风险自负。
• 法律合规。 用户有责任确保其使用方式符合适用法律。

致谢

LitterBox 建立在以下项目及其作者的工作成果之上：

界面