2018-2019-2 20165205《网络对抗技术》Exp4 恶意代码分析

2018-2019-2 20165205《网络对抗技术》Exp4 恶意代码分析

实验要求

  1. 监控你自己系统的运行状态,看有没有可疑的程序在运行。
  2. 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。
  3. 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

基础问题

1.如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

  1. 使用schtasks监视主机,然后统计可以的IP号和可疑的联网程序
  2. 或者使用Sysmon,编写配置文件,记录联网端口的操作
  3. 使用Process Monitor工具,主要监视注册表的变化

2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。

  1. 使用wireshark进行抓包获取这个进程的通信
  2. 使用PIED查看是否加壳
  3. 在Virus Total中对程序进行扫描
  4. 使用systracer进行分析,对比运行程序或进程前后发生的变化

    实验内容

1. 系统运行监控(2分)

1.1使用schtasks监控系统

  • 在本机中使用schtasks /creat /TN /netstat5205 /sc MINUTE /MO 1 /TR"cmd /c netstat -bn > c:\netstatlog.txt"创建计划任务netstat5205 - TN 指定任务名称 - sc 指定记录间隔时间,这里规定每隔一分钟记录一次 - TR 指定运行命令 - bn b指记录可执行文件名,n指记录端口和IP ->` 输出到指定文件
  • C盘下创建netstat5205.bat脚本文件,写入以下内容
      date/t >> c:\netstatlog.txt
      time/t >> c:\netstatlog.txt
      netstat -bn >> c:\netstatlog.txt
  • 在开始中搜索任务计划程序,找到我们刚刚创建的任务,双击,点击操作,修改,把“程序或脚本”改为netstat5205.bat,然后确定
  • 执行8个小时后进行统计,在excel表中统计所有的exe进程的联网动态


  • 修改统计范围
  • 可以看到
  • 其中360,wps,WeChat,vm,输入法,浏览器是我可以看懂的,其他
    • jucheck.exe是java软件的检测升级进程,
    • SCMiNi64.exe,这个我没有怎么查到,查到的只是说这个硬件的运行程序
    • SGTool.exe 搜狗输入法运行的进程之一
    • svchost.exe 是从动态链接库 (DLL)中运行的服务的通用主机进程名称。这个程序对系统的正常运行是非常重要

      1.2使用sysmon工具监控系统

  • 重点监控进程创建,网络连接和远程线程创建
  • 下载sysinternals
  • 命令行安装sysmon -accepteula -i -n
  • 创建配置文件Sysmon20165205.xml
      <Sysmon schemaversion="3.10">
          <!-- Capture all hashes -->
          <HashAlgorithms>*</HashAlgorithms>
          <EventFiltering>
              <!-- Log all drivers except if the signature -->
              <!-- contains Microsoft or Windows -->
              <DriverLoad onmatch="exclude">
              <Signature condition="contains">microsoft</Signature>
              <Signature condition="contains">windows</Signature>
          </DriverLoad>
    
              <NetworkConnect onmatch="exclude">
               <Image condition="end with">chrome.exe</Image>
                <Image condition="end with">iexplorer.exe</Image>
                <Image condition="end with">firefox.exe</Image>
                <SourcePort condition="is">137</SourcePort>
                <SourceIp condition="is">127.0.0.1</SourceIp>
                <DestinationPort condition="is">80</DestinationPort>
                <DestinationPort condition="is">443</DestinationPort>
              </NetworkConnect>
    
              <CreateRemoteThread onmatch="include">
                <TargetImage condition="end with">explorer.exe</TargetImage>
                <TargetImage condition="end with">firefox.exe</TargetImage>
                <TargetImage condition="end with">svchost.exe</TargetImage>
               <TargetImage condition="end with">winlogon.exe</TargetImage>
                <SourceImage condition="end with">powershell.exe</SourceImage>
              </CreateRemoteThread>
    
              <ProcessCreate onmatch="include">
               <Image condition="end with">chrome.exe</Image>
               <Image condition="end with">iexplorer.exe</Image>
               <Image condition="end with">firefox.exe</Image>
              </ProcessCreate>
    
              <FileCreateTime onmatch="exclude" >
                <Image condition="end with">firefox.exe</Image>
              </FileCreateTime>
    
              <FileCreateTime onmatch="include" >
                <TargetFilename condition="end with">.tmp</TargetFilename>
                <TargetFilename condition="end with">.exe</TargetFilename>
              </FileCreateTime>
    
            </EventFiltering>
          </Sysmon>
  • 重点监视80和443端口,和浏览器等联网应用
  • sysmon -c Sysmon20165205.xml完成配置
  • 打开exp3中的后门程序,可以看到捕捉到了后门程序和360的信息,还有未关闭的netatat:

还有SearchFilterHost:是系统自带的搜索服务:

dllhost这个程序与svhost有关,貌似也是系统程序之一:

2. 恶意软件分析(1.5分)

2.1使用Virus Total分析恶意软件

  • 对实验3中的恶意代码进行检测:
  • 在Details处可以看到基本属性:SHA-1、MD5摘要值、文件类型、文件大小

2.2使用Process Monitor分析恶意软件

  • 捕捉到各个进程的详细信息

2.3使用Process Explorer分析恶意软件

  • 运行后门程序,可以看到对后门程序的记录

2.4使用PEiD分析恶意软件

  • 分别对加壳和未加壳的程序进行检测


2.5使用systracer分析恶意软件

  • 安装SysTracer软件后,记录各个后门操作,进行对比

    • 未植入后门,记录Snapshot#1
    • 后门回连,记录Snapshot #2
    • 后门记录键盘,记录Snapshot #3
    • 后门查看文件,记录Snapshot #4
  • 比较 Snapshot#1和Snapshot #2

可以看到新增文件、目录,甚至是密钥(还是口令,这里的Key我不太清楚值什么)

在C:\windows\system32下新增许多dll文件

  • 比较 Snapshot#2和Snapshot #3

    攻击机读取目标机的键盘记录,这里可以看到新增文件与输入有关
  • 比较 Snapshot#3和Snapshot #4

    攻击机读取目标机的目录,这一点我是没看出来新增了的是什么意思。

实验体会

  • 在实验中我花了大半天来监视电脑天天都在干什么,通过excle表的分析,最终发现本来自己认为网络通信不多的程序比如wps,其实在不知不觉中进行了许多网络通信。
  • 在分析中因为自己对各种文件的不熟悉,很多文件不知道的做什么的,只能一个一个查,有些百度出来的结果还不一样,搞得我都不知道这些程序是安全的还是伪装安全的了
  • 通过自己动手实践,在后门程序做了很多记录,发现一个后门程序,尤其的攻击方有操作时,后门程序会做很大的手脚,也难怪自己的后门会被360发现了

原文地址:https://www.cnblogs.com/mushroomissmart/p/10664437.html

时间: 2024-11-06 03:35:20

2018-2019-2 20165205《网络对抗技术》Exp4 恶意代码分析的相关文章

20145239杜文超《网络对抗技术》- 恶意代码分析

20145239杜文超<网络对抗技术>- 恶意代码分析 实验后回答问题 1.如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. (1)使用计划任务schtasks指令动态监控系统运行 (2)使用sysmon工具动态监控系统运行 2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. (1)使用systracer工具进行快照分析注册表信息.文件行为等信息的变化 (2)把程序放在vir

20145225唐振远《网络对抗》Exp4 恶意代码分析

20145225唐振远<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 使用Windows自带的schtasks指令设置一个计划任务,指定每隔一定时间记录主机的联网记录或者是端口开放.注册表信息等等: 通过sysmon工具,配置好想记录事件的文件,之后在事件查看器里找到相关日志文件便可以查看: 使用Process Explorer工具,监视进程执行情况,查

20155317《网络对抗》Exp4 恶意代码分析

20155317<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 我首先会选择看任务管理器,查看系统下有什么进程,都在干些什么,不懂得就去网上搜索相关关键词. 我会开启360安全卫士,利用360监控是否有恶意程序. 2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. 利用Process Explorer去分析进程在连接什么地址

20145207李祉昂《网络对抗技术》恶意代码分析

实验内容 schtasks.Sysmon对电脑进行系统检测,并分析. 对恶意软件进行静态分析,直接上传到网上,或者利用peid等软件. 对恶意软件进行动态分析,使用systracer,以及wireshark分析. 实验后回答问题 (1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. schtasks,Sysmon监控 (2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. wi

20145235李涛《网络对抗技术》- 恶意代码分析

基础问答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 可以通过计划任务,来建立一个定时更新的日志来查看 通过sysmon来监控. 通过Process Explorer工具,查看是否有程序调用了异常的dll库 如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. 可以通过抓包工具,进行分析. 通过systracer工具分析某个程序执行前后,计算机注册表.文件.端口的一些变化情况.

2015306 白皎 《网络攻防》Exp4 恶意代码分析

2015306 白皎 <网络攻防>Exp4 恶意代码分析 netstat [Mac.Linux.Win] sysinteral [MS]:1 2 3 一.系统监控--Windows计划任务schtasks 1.创建计划任务,使系统每5分钟自动检测到哪些有哪些程序在连接我们的网络. 注:任务将创建于当前登录的用户名文件夹下. C:\schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\

20155334 《网络攻防》Exp4 恶意代码分析

<网络攻防>Exp4 恶意代码分析 一.实验问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 可以使用工具监测系统,之后进行下一步分析. 在windows下建立一个监测本机连接ip地址的任务计划程序. 通过sysmon监控重要操作,并找到日志查看. 如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. PEiD工具,可以查看程序有没有被常用的加壳软件加壳. PE expl

2019-2020-2 20175310奚晨妍《网络对抗技术》Exp4 恶意代码分析

目录 1 基础知识 1.1 恶意代码的概念与分类 1.2 恶意代码的分析方法 1.3 实践目标 2 实践内容及步骤 2.1 系统运行监控 2.1.1 Windows计划任务schtasks 2.1.2 sysmon 2.2 恶意软件分析 2.2.1 静态分析 2.2.2 动态分析 3 实验中遇到的问题 3.1 实验二生成的后门文件一直不能成功回连 3.2 实验中需要用到的软件 4 问题回答 4.1 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下

2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析

2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析 1.实践目标 监控你自己系统的运行状态,看有没有可疑的程序在运行. 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件:分析工具尽量使用原生指令或sysinternals,systracer套件. 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质. 2.实践内容概述 系统运行监控 使用如计划任务,每隔一分钟记