码迷,mamicode.com
首页 > 其他好文 > 详细

20155334 《网络攻防》Exp4 恶意代码分析

时间:2018-04-18 15:15:06      阅读:174      评论:0      收藏:0      [点我收藏+]

标签:提示   文件内容   知识   sha   task   启动   任务计划   过程   管理员   

《网络攻防》Exp4 恶意代码分析

一、实验问题回答

  1. 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。
    1. 可以使用工具监测系统,之后进行下一步分析。
    2. 在windows下建立一个监测本机连接ip地址的任务计划程序。
    3. 通过sysmon监控重要操作,并找到日志查看。
  2. 如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。
    1. PEiD工具,可以查看程序有没有被常用的加壳软件加壳。
    2. PE explorer工具,它可以对程序调用库等信息进行分析查看,还可以对其反汇编。
    3. 启动该程序,利用systracer及wireshark动态分析程序动向。

二、实验过程

- 使用schtasks指令监控系统运行

1.建立文件 netstatlog.bat,文件内容为:

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

其作用为把记录下来的联网结果记录到netstatlog.txt文件中。

  1. 使用管理员权限运行命令提示符,使用指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务:
    技术分享图片
  2. 可以看到netstatlog.txt文件中有:
    技术分享图片
    端口号、ip地址都有记录。
  • 使用sysmon监控系统运行
  1. 使用老师提供的配置文件模板进行修改存放在在了C盘。
  2. 以管理员身份运行命令行,在sysmon所在的目录下,使用指令 sysmon.exe -i "Sysmoncfg.txt所在路径" 安装sysmon。
    技术分享图片
  3. 打开应用程序和服务日志,根据`Microsoft->Windows->Sysmon->Operational路径找到记录文件。
    技术分享图片
    技术分享图片
  • systracer注册表分析
  1. 下载systracer并安装后点击take snapshot捕获快照
    技术分享图片
  2. 为了体会到该工具的威力,我在捕获的过程中运行了之前实验中使用过的后门,与目标主机回连。
    技术分享图片
  3. 在快照中我们会发现opened ports ,点开之后可以看到IP以及端口
    技术分享图片
  • 联网情况分析
  1. 在后门程序回连的过程中,使用wireshark,进行捕包分析
  2. 查看详细的协议分析发现,后门程序建立了三次握手并回连时进行了基于IP和端口的连接
    技术分享图片
  • Process Monitor分析
  1. 下载、安装并打开Process Monitor,就可以直接看到win 7 执行的程序的变化。
  2. 从中可以查找到后台程序Project1.exe的运行。
    技术分享图片
  • Process Explorer分析
  1. 下载、安装并打开Process Explorer, 在Process栏可以找到Project1.exe
  2. 双击点开后,以查看不同的信息:TCP/IP页签有程序的连接方式、回连IP、端口等信息。
    技术分享图片

三、实验总结与体会

这次实验用到的工具众多,体验颇为丰富,只是有关分析的部分,本人做的不够,颇为遗憾。为此我分析了两点:1.本人的知识不够,2.虚拟机中的软件不多,截取的信息量不够,3.也是重要的一点,人比较懒(鬼脸)。以后一定克服懒惰,耐下性子,仔仔细细做实验,认认真真写博客。

20155334 《网络攻防》Exp4 恶意代码分析

标签:提示   文件内容   知识   sha   task   启动   任务计划   过程   管理员   

原文地址:https://www.cnblogs.com/bestixx/p/8874469.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!