20154327 Exp4 恶意代码分析

实验内容

使用Windows计划任务schtasks监控系统运行

  • 使用指令
schtasks /create /TN 20154327netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt
  • 创建计划任务netstat
  • 指令解释:

TN:Task Name,本例中是netstat

SC: SChedule type,本例中是MINUTE,以分钟来计时

MO: MOdifier

TR: Task Run,要运行的指令是 netstat -bn,b表示显示可执行文件名,n表示以数字来显示IP和端口

  • 在C盘创建一个文件netstatlog.bat,内容为:
date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt
  • 如上内容意在让我们的网络记录可以显示我们连接的网络的时间和日期信息
    保存后我们将文件的后缀改为bat
  • 打开计划任务,找到我们刚刚创建的
  • 在这里发现了惊喜,
  • 排除后发现是快快游戏的定时任务,估计是什么时候玩贪玩蓝月安装的。
  • 设置任务计划里的操作:

  • 回连后,发现已于虚拟机建立连接:

使用Sysmon工具监控系统运行

  • 在老师提供的网址中找到了最新的Sysmon下载
    https://docs.microsoft.com/zh-cn/sysinternals/
  • 配置xml,http://www.freebuf.com/sectool/122779.html
  • 这里大家记得改版本号
  • 一键安装:
    sysmon -accepteula –i -n
  • 在命令行下使用sysmon -c xxx.xml命令可以对sysmon进行配置指定配置文件(安装时请用-i)
  • 配置成功后,我们查看sysmon确实在运行呢,
  • 在计算机管理工具-事件查看器下可以查看日志信息,日志位置在 应用程序和服务日志/Microsoft/Windows/Sysmon/Operational下
  • 现在执行后门程序,kali上进行回连后观察事件查看器。
  • 找到了


  • 可以发现这是我们kali的ip地址。

  • 这里发现后门调用了Explorer.EXE程序,这个程序大家应该不陌生吧,这里我猜测后门程序通过explorer.exe参数去调用了文件来执行所需功能。

使用在线沙盘分析恶意软件

  • 由于哈勃关闭了普通用户进行行为分析,virscan也调用不了,这里我们使用两个国外的在线沙盘进行分析。

Threat Expert:

  • 可以看到其启动回连主机的部分IP地址以及端口号

http://www.threatexpert.com/report.aspx?md5=e8a238be05c0850b9f2e2509dce60f81

VirusTotal

  • 分析出了一堆看不懂的=-=

https://www.virustotal.com/#/file/ef4fbe151b1159f75b405b3dbc34b44f23eb539980df15f8d38cc85c2d64dfd3/behavior

使用systracer工具分析恶意软件

1.在正常情况下,我们在win7虚拟机下快照保存为Snapshot #1;

2.Kali生成相应的后门,将文传到win7虚拟机下后快照保存为Snapshot #2;

3.Kali开启msf监听,在win7下运行后门程序后快照保存为Snapshot #3;

4.Kali对win7虚拟机进行权限操作后,在win7下快照保存为Snapshot #4;

使用火绒剑分析恶意软件行为

*这里给大家推荐一个国产良心杀软——火绒,这里用到的是火绒里面的火绒剑功能。

  • 开启监控后,运行程序,查看程序所作出的所有行为。

  • 我们可以看出后门程序建立了172.30.6.226:4327的连接,这个便是kali进行了回连的地址:也可以看到后门程序调用了许多dll,猜测正是调用了这些dll来实现。

Malware Defender

  • 在xp虚拟机上打开Malware Defender,如图所示选择保护设置。
  • 然后在工具-选项-保护-设置保护模式

 1.学习模式, 可以检测特定程序的使用的关键API,比如: 创建文件,修改内存...但是不阻止

 2.正常模式,正常模式则会在调用这些关键API之后,则会问你是否允许操作

 3.安静模式,安静模式则不操作,不提示.
  
  

  • 可以看出,主体在这里建立了172.30.6.226:4327的连接,这个便是kali进行了回连的地址。

PE explorer

去网上看大牛的分析都是用OD去看反汇编的,可惜自己不会

TCPview工具

未完待续!

原文地址:https://www.cnblogs.com/lovezh/p/8797007.html

时间: 2024-10-05 04:56:04

20154327 Exp4 恶意代码分析的相关文章

20145225唐振远《网络对抗》Exp4 恶意代码分析

20145225唐振远<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 使用Windows自带的schtasks指令设置一个计划任务,指定每隔一定时间记录主机的联网记录或者是端口开放.注册表信息等等: 通过sysmon工具,配置好想记录事件的文件,之后在事件查看器里找到相关日志文件便可以查看: 使用Process Explorer工具,监视进程执行情况,查

2015306 白皎 《网络攻防》Exp4 恶意代码分析

2015306 白皎 <网络攻防>Exp4 恶意代码分析 netstat [Mac.Linux.Win] sysinteral [MS]:1 2 3 一.系统监控--Windows计划任务schtasks 1.创建计划任务,使系统每5分钟自动检测到哪些有哪些程序在连接我们的网络. 注:任务将创建于当前登录的用户名文件夹下. C:\schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\

20155317《网络对抗》Exp4 恶意代码分析

20155317<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 我首先会选择看任务管理器,查看系统下有什么进程,都在干些什么,不懂得就去网上搜索相关关键词. 我会开启360安全卫士,利用360监控是否有恶意程序. 2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. 利用Process Explorer去分析进程在连接什么地址

20154322 杨钦涵 Exp4 恶意代码分析

Exp4 恶意代码分析 Exp4 恶意代码分析 一.基础问题回答 (1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. ①可以使用监控程序,帮助我们分析是否存在恶意代码 ②如第二个实验使用sysmon,监控几乎所有的重要操作,并可通过事件查看器中找到日志查看. (2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. ①利用wireshark动态分析程序动向. ②PE explo

Exp4 恶意代码分析 20154328 常城

Exp4 恶意代码分析 一.实践内容 1. 系统运行监控 使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里.运行一段时间并分析该文件,综述一下分析结果.目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不.如果想进一步分析的,可以有针对性的抓包. 安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为. 2. 恶意软件分析 分析软件在启动回连时 分析软件安装到目标机时 分析软

Exp4 恶意代码分析 20155223

Exp4 恶意代码分析 20155223 使用原生命令schtasks监视系统运行 在系统盘目录下建立脚本文件netstatlog.bat,包含以下命令: date /t >> c:\netstatlog.txt time /t >> c:\netstatlog.txt netstat -bn >> c:\netstatlog.txt 在netstatlog.bat同一目录下建立空文本文件netstatlog.txt,用来接收系统运行信息. 进入Windows系统下的计

20155339 Exp4 恶意代码分析

20155339 Exp4 恶意代码分析 实验后回答问题 (1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 监控网络连接. 当某个系统进程出现多个时,重点监控. 监控注册表的变化. 监控未知的IP的异常频率的连接. 监控系统日志的变化. (2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. 创建计划任务,跟踪该进程的网络连接. 使用Systracer拍摄系统的多个快照,并

Exp4 恶意代码分析

Exp4 恶意代码分析 一.基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. (1)我们可以使用一些工具帮助自己监测系统,可以实时监控电脑上的端口信息,如果受到怀疑的恶意代码启动的时候连接了一些看起来很可疑的端口,就可以进一步进行分析. (2)我们可以通过在windows下建立一个监测本机连接ip地址的任务计划程序,不定时的查看一下电脑都在什么时候连了网干了什么,如果在你觉得自己的电脑没有联网

20155209林虹宇Exp4 恶意代码分析

Exp4 恶意代码分析 系统运行监控 使用schtasks指令监控系统运行 新建一个txt文件,然后将txt文件另存为一个bat格式文件 在bat格式文件里输入以下信息 然后使用管理员权限打开cmd,输入schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat" 建立一个每两分钟记录计算机联网情况的任务,进入控制面板任务计划里查看一下. 查看一下txt文件里面的信息 安装配置sysinternals里的sy