Speakeasy

Speakeasy 是一个 Windows 恶意软件模拟框架，无需完整虚拟机即可在建模的 Windows 运行时中执行二进制文件、驱动程序和 shellcode。它模拟 API、进程/线程行为、文件系统、注册表和网络活动，使样本能够在逼真的执行路径中持续运行。您可以通过 speakeasy CLI 快速分析，或将其作为 Python 库嵌入，并获取结构化的 JSON 报告。

背景文章: Mandiant 的概述文章。

快速开始

从 PyPI 安装:

python3 -m pip install speakeasy-emulator

运行样本并检查高级报告字段（将 sample.dll 替换为您的目标文件）:

speakeasy -t sample.dll --no-mp -o report.json 2>/dev/null
jq '{sha256, arch, filetype, entry_points: (.entry_points | length)}' report.json

{
  "sha256": "30ec092d122a90441a2560f6778ef8233c98079cd34b7633f7bbc2874c8d7a45",
  "arch": "x86",
  "filetype": "dll",
  "entry_points": 3
}

此片段的可执行验证: doc/readme-quickstart-showboat.md.

文档导航

从这里开始

• 安装与 Docker 使用
• Python 库使用
• 帮助与故障排除
• 文档索引

CLI 使用

• CLI 参考
• CLI 分析方案
• CLI 环境覆盖
• CLI 执行控制
• CLI 帮助快照 (showboat)

报告、配置与运行时行为

• 配置详解
• 报告详解
• 内存管理
• 局限性

调试与扩展

• GDB 调试参考
• GDB 会话 (showboat)
• 通过 --volume 挂载主机文件
• 添加 API 处理程序
• 示例目录
• Speakeasy 2 详解大纲

问题和帮助

从 doc/help.md 开始。

如果仍有问题，请在 github.com/mandiant/speakeasy/issues 提交 issue。