标签：系统管理 log enc 用户登陆 周期性 png ima 监听端口 动态链接
1系统运行监控（2分）
（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
参考：schtask与sysmon应用指导
实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。
2恶意软件分析（1.5分）
分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
（3）读取、添加、删除了哪些注册表项
（4）读取、添加、删除了哪些文件
（5）连接了哪些外部IP，传输了什么数据（抓包分析）
我想监控的操作有：注册表的修改、进程的创建、可疑端口的占用、主机与可疑网络进行通信、哪些文件被查看了等。
监控方法有：使用sysmon并通过修改配置文件，记录相关操作的系统日志文件、使用netstat，让其定时执行，对记录的网络连接进行分析等。
使用wireshark软件进行抓包分析，查看与主机进行的通信过程，判断是否存在可疑连接；
使用Systracer软件对比分析，通过注册表等信息是否改变等相关信息来进行分析。
使用schtasks /create /TN netstat5206 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog5206.txt命令,创建计划任务netstat5206;
创建脚本文件netstat5206.bat,将它放到c盘中，修改文件内容为：
date /t >> c:\netstatlog5206.txt
time /t >> c:\netstatlog5206.txt
netstat -bn >> c:\netstatlog5206.txt打开任务计划程序，找到新创建的任务netstat5206；
对这个任务进行编辑，将“程序或脚本”改为netstat5206.bat批处理文件；
选择分隔符号；
选中全部分隔符号；
列数据格式选择常规；
导入成功；
选中要分析的列；
生成统计图进行分析，虽然数据较少，但也可以看出TCP连接是最多的，联网最多的是搜狗浏览器对应的程序“Sogoucloud.exe”，也可以看到后门程序20165206_exp4.exe、VM等联网的进程。
<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<ProcessCreate onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
</ProcessCreate>
<FileCreateTime onmatch="exclude" >
<Image condition="end with">chrome.exe</Image>
</FileCreateTime>
<NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<NetworkConnect onmatch="include">
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>指令含义：
exclude相当于白名单，不用记录。include相当于黑名单。
Image condition这里要根据自己使用的浏览器更改，例如谷歌浏览器是“chrome.exe”，IE浏览器是“iexplore.exe”,写在exclude中就是不记录由该浏览器创建的进程。
进程创建时间类似，也是不创建浏览器创建进程的时间。
网略连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务，且查看目的端口为80（http）和443（https）的网络连接。
137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。
127.0.0.1表示本机IP。
远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。
explorer.exe是Windows程序管理器或者文件资源管理器
svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。
powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。
弹出的窗口选择agree；
成功安装；
在计算机管理中查看事件查看器，选择日志的位置为应用程序和服务日志/Microsoft/Windows/Sysmon/Operational；
启动Kali，进行回连；
找到运行后门文件相对应的日志，查看详细信息，可以看到这个后门映像文件的具体位置等一些信息；
扫描没有加壳的后门程序，什么也没有找到；
扫描加了压缩壳的后门程序，可以发现压缩壳；
扫描加了加密壳的后门程序，什么也没有找到；
扫描加了压缩壳后又加了加密壳的后门程序，什么也没有找到；
发现PEid可以发现压缩壳，但不能扫描出加密壳。
下载完成后进行安装，选择第二个；
设置监听端口号；
完成安装后进行对回连前后分别进行快照，take snapshot；
点击上方“Applications”->左侧“Running Processes”->找到后门进程“20165206_ex4.exe”->点击“Opened Ports”查看回连地址、远程地址和端口号;
可以发现对文件和注册表等进行了修改；
-查看opened handles来对比他们都做了什么；
可以看到先进行了TCP三次握手，然后开始传输数据，并传输了大量ACK、PSH+ACK等数据包；
分析数据包可以看到占用的端口等信息；
2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析
标签：系统管理 log enc 用户登陆 周期性 png ima 监听端口 动态链接
原文地址：https://www.cnblogs.com/brs666/p/10660347.html
