码迷,mamicode.com
首页 > 其他好文 > 详细

2018-2019-2 20162318《网络对抗技术》Exp4 恶意代码分析

时间:2019-04-06 18:40:08      阅读:86      评论:0      收藏:0      [点我收藏+]

标签:需要   内容   依赖   ESS   filter   时间   log   还需要   控制台   

一、实验目标


  • 监控你自己系统的运行状态,看有没有可疑的程序在运行。
  • 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。
  • 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质

二、实验内容


2.1系统运行监控

(1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述一下分析结果。目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不。如果想进一步分析的,可以有针对性的抓包。

(2)安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。

参考:schtask与sysmon应用指导

实际日志的分析还需要发挥下自己的创造力,结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理,这就得大家会什么用什么了。

2.2恶意软件分析

分析该软件在(1)启动回连,(2)安装到目标机(3)及其他任意操作时(如进程迁移或抓屏,重要是你感兴趣)。该后门软件

(3)读取、添加、删除了哪些注册表项

(4)读取、添加、删除了哪些文件

(5)连接了哪些外部IP,传输了什么数据(抓包分析)


三、实验过程

1.使用schtasks指令监控系统(使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述分析结果)

  • step1.创建计划任务netstat2318
schtasks /create /TN netstat2318 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

技术图片

  • step2.在C盘中创建一个netstat2318.bat脚本文件,写入一下内容:
date /t >> c:\netstat2318.txt time /t >> c:\netstat2318.txt netstat -bn >> c:\netstat2318.txt

技术图片

  • step3.打开任务管理器,查看新创建的任务

技术图片

  • step4.双击打开这个任务,点击"操作",进行编辑

技术图片

  • step5.可以在C盘的netstat2318.txt文件中查看到本机在该时间段内的联网记录:

技术图片

  • step6. 导入Excel中,并使其可视化

技术图片

技术图片

  • step7. 经过分析,未发现异常

2.使用sysmon工具

step1.下载安装sysinternals

技术图片

step2.创建配置文件sysmon2318.xml

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">     
      <Image condition="end with">chrome.exe</Image> 
    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">wps.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>
    <NetworkConnect onmatch="include">     
      <DestinationPort condition="is">80</DestinationPort>      
      <DestinationPort condition="is">443</DestinationPort>    
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

step3.输入命令,完成配置

Sysmon -c sysmon2318.xml

技术图片

step4.运行之前生成好的后门

技术图片

step5.打开【事件查看器】,在左侧控制台树按照【事件查看器】->【应用程序和服务日志】->【Microsoft】->【Windows】依次展开,找到【Sysmon】下的【Operational】并双击打开

技术图片

2.恶意软件分析

2.1使用VirusScan分析恶意软件(静态)

step1.把生成的恶意代码放在irusScan进行分析

技术图片

step2.查看其病毒类型和查找相关病毒

技术图片

2.2使用Process Explorer分析恶意软件(动态)

step1.运行后门程序回连,使用Explorer,可知该程序是在命令行中运行

技术图片

step2,我们可以分析出回连地址是192.168.99.100使用的端口是1818

技术图片

step3.查看该进程使用的CPU,虚拟内存空间、物理内存空间、I/O

技术图片

四、基础问题

1、如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

使用schtasks指令监控系统(使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。

2、如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。

1.上传可疑文件使用VirusScan分析

2.使用使用wireshark进行抓包和分析

3,使用Process Explorer工具,监视文件系统、注册表、进程/线程的活动

五、实验总结与体会

本次实验没有太多动手的地方,主要是分析恶意代码。通过这次实验,我们可以通过软件去分析我们的电脑做了些什么,它趁我们不注意的时候运行了哪些进程。我们可以以周期性的运行一个任务,查看有哪些进程联网了以及连接的外部IP等。在本次实验我们调换了身份,和以往不同的是我们从攻击者变成了防御者,这使我对恶意代码的理解更近了一步。

2018-2019-2 20162318《网络对抗技术》Exp4 恶意代码分析

标签:需要   内容   依赖   ESS   filter   时间   log   还需要   控制台   

原文地址:https://www.cnblogs.com/cs162318/p/10662249.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!