20155334 《网络攻防》Exp4 恶意代码分析

《网络攻防》Exp4 恶意代码分析

一、实验问题回答

  1. 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

    1. 可以使用工具监测系统,之后进行下一步分析。
    2. 在windows下建立一个监测本机连接ip地址的任务计划程序。
    3. 通过sysmon监控重要操作,并找到日志查看。
  2. 如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。
    1. PEiD工具,可以查看程序有没有被常用的加壳软件加壳。
    2. PE explorer工具,它可以对程序调用库等信息进行分析查看,还可以对其反汇编。
    3. 启动该程序,利用systracer及wireshark动态分析程序动向。

二、实验过程

- 使用schtasks指令监控系统运行

1.建立文件 netstatlog.bat,文件内容为:

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

其作用为把记录下来的联网结果记录到netstatlog.txt文件中。

  1. 使用管理员权限运行命令提示符,使用指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务:

  2. 可以看到netstatlog.txt文件中有:

    端口号、ip地址都有记录。

  • 使用sysmon监控系统运行
  1. 使用老师提供的配置文件模板进行修改存放在在了C盘。
  2. 以管理员身份运行命令行,在sysmon所在的目录下,使用指令 sysmon.exe -i "Sysmoncfg.txt所在路径" 安装sysmon。

  3. 打开应用程序和服务日志,根据`Microsoft->Windows->Sysmon->Operational路径找到记录文件。

  • systracer注册表分析
  1. 下载systracer并安装后点击take snapshot捕获快照

  2. 为了体会到该工具的威力,我在捕获的过程中运行了之前实验中使用过的后门,与目标主机回连。

  3. 在快照中我们会发现opened ports ,点开之后可以看到IP以及端口

  • 联网情况分析
  1. 在后门程序回连的过程中,使用wireshark,进行捕包分析
  2. 查看详细的协议分析发现,后门程序建立了三次握手并回连时进行了基于IP和端口的连接

  • Process Monitor分析
  1. 下载、安装并打开Process Monitor,就可以直接看到win 7 执行的程序的变化。
  2. 从中可以查找到后台程序Project1.exe的运行。

  • Process Explorer分析
  1. 下载、安装并打开Process Explorer, 在Process栏可以找到Project1.exe
  2. 双击点开后,以查看不同的信息:TCP/IP页签有程序的连接方式、回连IP、端口等信息。

三、实验总结与体会

这次实验用到的工具众多,体验颇为丰富,只是有关分析的部分,本人做的不够,颇为遗憾。为此我分析了两点:1.本人的知识不够,2.虚拟机中的软件不多,截取的信息量不够,3.也是重要的一点,人比较懒(鬼脸)。以后一定克服懒惰,耐下性子,仔仔细细做实验,认认真真写博客。

原文地址:https://www.cnblogs.com/bestixx/p/8874469.html

时间: 2024-10-18 21:44:45

20155334 《网络攻防》Exp4 恶意代码分析的相关文章

2018-2019 20165208 网络对抗 Exp4 恶意代码分析

目录 2018-2019 20165208 网络对抗 Exp4 恶意代码分析 实验内容 系统运行监控(2分) 恶意软件分析(1.5分) 报告评分(1分) 基础问题回答 实践过程记录 1. 系统运行监控--计划任务 2. 系统运行监控--利用Sysmon 3. 恶意软件分析-- virscan网站 4. 恶意软件分析--Threatbook 5. 恶意软件分析--Systracer 实验中遇到的问题及解决方法 实验感想 2018-2019 20165208 网络对抗 Exp4 恶意代码分析 实验内

20145309 《网络攻防》恶意代码分析

一.基础问题回答 (1)总结一下监控一个系统通常需要监控什么.用什么来监控. 注册表信息的增删添改,系统上各类程序和文件的行为记录以及权限,实现网络连接的进程,使用的IP地址和端口号等 使用Schtasks指令.sysmon.TCPView.WireShark等工具 (2)如果在工作中怀疑一台主机上有恶意代码,请设计下你准备如何找到对应进程.恶意代码相关文件. 首先使用静态分析将其上传至扫描网站.后使用TCPView工具查看正在联网的进程,进行的初步分析,再通过sysmon事件日志,找到怀疑的程

2015306 白皎 《网络攻防》Exp4 恶意代码分析

2015306 白皎 <网络攻防>Exp4 恶意代码分析 netstat [Mac.Linux.Win] sysinteral [MS]:1 2 3 一.系统监控--Windows计划任务schtasks 1.创建计划任务,使系统每5分钟自动检测到哪些有哪些程序在连接我们的网络. 注:任务将创建于当前登录的用户名文件夹下. C:\schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\

20145225唐振远《网络对抗》Exp4 恶意代码分析

20145225唐振远<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 使用Windows自带的schtasks指令设置一个计划任务,指定每隔一定时间记录主机的联网记录或者是端口开放.注册表信息等等: 通过sysmon工具,配置好想记录事件的文件,之后在事件查看器里找到相关日志文件便可以查看: 使用Process Explorer工具,监视进程执行情况,查

20155317《网络对抗》Exp4 恶意代码分析

20155317<网络对抗>Exp4 恶意代码分析 基础问题回答 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪些,用什么方法来监控. 我首先会选择看任务管理器,查看系统下有什么进程,都在干些什么,不懂得就去网上搜索相关关键词. 我会开启360安全卫士,利用360监控是否有恶意程序. 2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息. 利用Process Explorer去分析进程在连接什么地址

2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析

2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析 1.实践目标 监控你自己系统的运行状态,看有没有可疑的程序在运行. 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件:分析工具尽量使用原生指令或sysinternals,systracer套件. 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质. 2.实践内容概述 系统运行监控 使用如计划任务,每隔一分钟记

2018-2019-2 网络对抗技术 20165318 Exp4 恶意代码分析

2018-2019-2 网络对抗技术 20165318 Exp4 恶意代码分析 原理与实践说明 实践目标 实践内容概述 基础问题回答 实践过程记录 1.使用schtasks指令监控系统 2.使用sysmon工具监控系统 恶意软件分析 3.使用VirusTotal分析恶意软件 4.使用PEiD分析恶意软件 5.使用PE Explorer分析恶意软件 6.使用Process Monitor分析恶意软件 7.使用Process Explorer分析恶意软件 8.使用systracer分析恶意软件 9.

2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析

- 2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析 - 实验任务 1系统运行监控(2分) (1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里.运行一段时间并分析该文件,综述一下分析结果.目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不.如果想进一步分析的,可以有针对性的抓包. (2)安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为

2018-2019-2 网络对抗技术 20165225 Exp4 恶意代码分析

2018-2019-2 网络对抗技术 20165225 Exp4 恶意代码分析 实践目标 1.1是监控你自己系统的运行状态,看有没有可疑的程序在运行. 1.2是分析一个恶意软件,就分析Exp2或Exp3中生成后门软件:分析工具尽量使用原生指令或sysinternals,systracer套件. 1.3假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质. 报告内容 使用schtasks指令监控系统