FLARE-VM

欢迎使用 FLARE-VM——这是一套适用于 Windows 系统的软件安装脚本集合，可让您轻松在虚拟机（VM）上搭建并维护逆向工程环境。FLARE-VM 旨在解决逆向工程工具管理的难题，其核心依赖两项技术：Chocolatey 和 Boxstarter。Chocolatey 是基于 Windows 的 Nuget 包管理系统，所谓“包”本质上是一个 ZIP 文件，内含用于下载并配置特定工具的 PowerShell 安装脚本。Boxstarter 则利用 Chocolatey 包来自动化安装软件，从而创建可重复、脚本化的 Windows 环境。

系统要求

FLARE-VM 应仅安装在虚拟机上。 虚拟机需满足以下要求：

• Windows ≥ 10
• PowerShell ≥ 5
• 磁盘容量至少 60 GB，内存至少 2 GB
• 用户名不含空格或其他特殊字符
• 互联网连接
• 禁用篡改防护及任何反恶意软件方案（如 Windows Defender），最好通过组策略实现
• 禁用 Windows 更新

安装说明

本节介绍安装 FLARE-VM 的步骤。您也可以参考视频《Building a VM for Reverse Engineering and Malware Analysis! Installing the FLARE-VM》。

预安装

• 准备一台 Windows 10+ 虚拟机
  • 在虚拟机中安装 Windows，例如使用来自 https://www.microsoft.com/en-us/software-download/windows10ISO 的原始 Windows 10 ISO
  • 确保满足上述要求，包括：
    • 禁用 Windows 更新（至少直到安装完成）
      • https://www.windowscentral.com/how-stop-updates-installing-automatically-windows-10
    • 禁用篡改防护及任何反恶意软件方案（如 Windows Defender），最好通过组策略实现。
      • GPO：https://stackoverflow.com/questions/62174426/how-to-permanently-disable-windows-defender-real-time-protection-with-gpo
      • 非 GPO - 手动：https://www.maketecheasier.com/permanently-disable-windows-defender-windows-10/
      • 非 GPO - 自动：https://github.com/ionuttbara/windows-defender-remover
      • 非 GPO - 半自动（用户需手动关闭篡改防护）：https://github.com/AveYo/LeanAndMean/blob/main/ToggleDefender.ps1
• 创建虚拟机快照，以便随时回退到安装 FLARE-VM 前的状态
• IDA Pro 注意事项：如果通过 idapro.vm 安装 IDA Pro，必须在运行 FLARE-VM 安装程序之前，将 IDA Pro 安装程序（以及可选的许可证文件）放置于桌面。

FLARE-VM 安装

• 以管理员身份打开 PowerShell 提示符
• 将安装脚本 installer.ps1 下载到桌面：
  • (New-Object net.webclient).DownloadFile('https://raw.githubusercontent.com/mandiant/flare-vm/main/install.ps1',"$([Environment]::GetFolderPath("Desktop"))\install.ps1")
• 解除安装脚本的锁定：
  • Unblock-File .\install.ps1
• 启用脚本执行：
  • Set-ExecutionPolicy Unrestricted -Force
    • 如果收到错误提示说执行策略被更具体作用域的策略覆盖，您可能需要通过 Set-ExecutionPolicy Unrestricted -Scope CurrentUser -Force 指定作用域。要查看所有作用域的执行策略，请执行 Get-ExecutionPolicy -List
• 最后，按如下方式执行安装脚本：
  • .\install.ps1
    • 将密码作为参数传递：.\install.ps1 -password <password>
    • 使用最小用户交互的 CLI 模式：.\install.ps1 -password <password> -noWait -noGui
    • 使用最小用户交互的 CLI 模式并指定自定义配置文件：.\install.ps1 -customConfig <config.xml> -password <password> -noWait -noGui
• 安装完成后，建议切换到 host-only 网络模式，并创建虚拟机快照

安装程序参数

以下是 CLI 参数说明。

参数
    -password <String>
        当前用户密码，用于通过 Boxstarter 实现重启弹性。若未提供，脚本会提示输入密码。

    -noPassword [<SwitchParameter>]
        开关参数，指示重启时无需密码。

    -customConfig <String>
        配置 XML 文件的路径。可以是本地文件路径或 URL。

    -customLayout <String>
        任务栏布局 XML 文件的路径。可以是本地文件路径或 URL。

    -noWait [<SwitchParameter>]
        开关参数，跳过安装开始前的提示信息。

    -noGui [<SwitchParameter>]
        开关参数，跳过自定义 GUI。

    -noReboots [<SwitchParameter>]
        开关参数，阻止重启（不推荐）。

    -noChecks [<SwitchParameter>]
        开关参数，跳过验证检查（不推荐）。

运行 Get-Help .\install.ps1 -Detailed 可获取完整使用信息。

安装程序 GUI

安装程序 GUI 会在执行验证检查并安装 Boxstarter 和 Chocolatey（如果尚未安装）后显示。 通过安装程序 GUI，您可以自定义：

• 从 FLARE-VM 和 Chocolatey 社区选择的包
• 环境变量路径

配置

安装程序将从 FLARE-VM 仓库下载 config.xml。该文件包含默认配置，包括要安装的包列表和环境变量路径。您可以通过指定 CLI 参数 -customConfig 并提供本地文件路径或 URL 到您的 config.xml 文件来使用自己的配置。例如：

.\install.ps1 -customConfig "https://raw.githubusercontent.com/mandiant/flare-vm/main/config.xml"

任务栏布局

安装程序将使用来自 FLARE-VM 仓库的 CustomStartLayout.xml。该文件包含默认的任务栏布局。您可以通过指定 CLI 参数 -customLayout 并提供本地文件路径或 URL 到您的 CustomStartLayout.xml 文件来使用自己的配置。例如：

.\install.ps1 -customLayout "https://raw.githubusercontent.com/mandiant/flare-vm/main/CustomStartLayout.xml"

注意事项：

• XML 中未安装的项目不会显示在任务栏中（不会固定无效链接）
• 只能固定应用程序（.exe 文件）或应用程序的快捷方式。
• 如果您想固定非应用程序的内容，可以考虑创建一个指向 cmd.exe 或 powershell 的快捷方式，并附带执行所需操作的参数。
• 如果您想以管理员权限运行某内容，可以考虑使用 VM-Install-Shortcut 创建快捷方式，并添加 -runAsAdmin 标志，然后固定该快捷方式。

安装后步骤

您可以在配置中的标签 apps、services、path-items、registry-items 和 custom-items 内添加任何您喜欢的安装后步骤。

例如：

• 显示已知文件扩展名：

    <registry-items>
        <registry-item name="显示已知文件扩展名" path="HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" value="HideFileExt" type="DWord" data="0"/>
    </registry-items>

更多示例，请查看默认配置文件：config.xml。

贡献

• 请查阅我们的 CONTRIBUTING 指南 了解如何为项目做出贡献。

故障排除

如果安装失败，请尝试通过阅读您系统上列出的以下日志文件来确定安装错误的原因：

• %VM_COMMON_DIR%\log.txt
• %PROGRAMDATA%\chocolatey\logs\chocolatey.log
• %LOCALAPPDATA%\Boxstarter\boxstarter.log

确保您运行的是最新版本的 FLARE-VM 安装程序，且您的虚拟机满足要求。

安装程序错误

如果由于安装脚本（例如 install.ps1）的问题导致安装失败，请在 FLARE-VM 中报告该错误。 提供所有要求的信息，以便我们能够帮助您。

注意： 在极少数情况下，install.ps1 才是安装失败的原因。更可能的情况是某个特定的包或一组包失败（见下文）。

包错误

包偶尔会安装失败——这很正常。最常见的原因如下：

1. 从 Chocolatey 或 MyGet 下载 .nupkg 文件失败或超时
2. 从远程主机下载工具失败或超时
3. 入侵检测系统（IDS）或防病毒产品（如 Windows Defender）阻止工具下载或从系统中删除该工具
4. 主机特定问题，例如使用未经测试的版本
5. 工具因依赖关系而构建失败
6. 工具 URL 失效（例如 HTTP STATUS 404）
7. 工具的 SHA256 哈希值与包安装脚本中硬编码的值不一致

原因 1-4 我们很难修复，因为我们无法控制这些方面。如果提交了与原因 1-4 相关的问题，我们很可能无法提供帮助。

我们可以帮助解决原因 5-7 的问题，也欢迎社区贡献修复方案！ 请在 VM-Packages 中报告该错误，并提供所有要求的信息。

更新

请注意，包更新是尽力而为的，且更新未经过测试。 如果遇到错误，请执行全新的 FLARE-VM 安装。

邮件列表

订阅 FLARE 邮件列表以获取社区公告！发送邮件至 [email protected]，主题为 "subscribe"。

法律声明

此下载配置脚本旨在帮助网络安全分析师为恶意软件分析环境创建方便多用的工具箱。它提供了一种便捷的界面，让用户可以直接从原始来源获取一套实用的分析工具。安装和使用此脚本需遵守 Apache 2.0 许可证。作为此脚本的用户，您必须审查、接受并遵守每个下载/安装包的许可条款。继续安装即表示您接受每个包的许可条款，并确认您对每个包的使用将受其各自许可条款的约束。