一、实验选题背景：
北京大学网络攻防技术与实践课程——Rada分析（北京大学计算机研究所信安中心）
二、实验操作
0X01 确认文件完整性
或是在linux 下使用md5sum工具进行计算哈希值。
确认文件格式
使用命令：strings RaDa.exe | less 查看程序可以打印的字符串
发现呈现乱码，推测程序加壳。
0X02 目标运行测试
注意：目标程序运行测试请勿在工作环境下进行
运行filemon、wireshark、regmon监控工具，然后再执行样本rada.exe，使用上述三个监控工具记录日志并保存。
注册表行为：
以下按照行为顺序叙述目标行为：
创建键值：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
设置键值：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RaDa 添加路径：C:\RaDa\bin\RaDa\RaDa.exe（此意为将路径C:\RaDa\bin\RaDa\RaDa.exe的RaDa.exe文件添加到系统自启动中）
关闭键值：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
文件系统行为：
以下按照执行目标行为过程顺序叙述监测行为：
首先查看路径C:\下是否存在文件夹RaDa\tmp。（结果是不存在）
在C盘创建文件夹RaDa。
在RaDa文件夹中创建子文件夹tmp。
打开路径C:\RaDa\tmp。（测试子文件夹tmp创建是否成功）
查看路径C:\RaDa下是否存在文件夹bin。（结果是不存在）
创建路径C:\RaDa\tmp。（结果是名称冲突，创建失败。原因是上面的操作已经创建了该路径）
创建路径C:\RaDa。（结果是名称冲突，创建失败。原因是上面的操作已经创建了该路径）
创建路径C:\RaDa\bin。（创建成功）
查询路径：C:\RaDa\bin\RaDa.exe （结果是不存在）
在上条的路径下创建该文件，查询属性、文件大小，写入文件。
网络行为：
让我分析网络行为？怎么分析？目标程序运行出错，开始我以为是采用的目标程序有问题，我从其它渠道获取目标程序后仍然出错。这作业没法做了。
使用查壳工具Exeinfo PE对文件进行扫描，发现该程序使用了upx加壳软件加壳
下面进行upx的脱壳
首先在upx官网上下载upx脱壳软件，配置环境变量。
配置成功：
首先测试下目标文件：
尝试使用upx对程序进行自动脱壳，发现脱壳失败：
采用超级巡警脱壳机进行脱壳，发现脱壳失败，奇了怪了，在超级巡警V1.3中可以脱壳成功，到了V1.5版本中就脱壳失败？？？什么破玩意：
在实验的最初我使用的是V1.5版本的脱壳机，发现失败后转而尝试手动脱壳：
使用OD载入RaDa.exe，发现：
选中“是”，继续调试
F7继续调试，寻找EP并设置断点：
F7进入函数体内部：
使用OD插件OllyDump——>脱壳在当前调试的进程：
选择“脱壳”，根据提示另存数据。
接下来打开Import REC，附加进程选择被调试的进程，然后填入修正后的OEP，然后点击“AutoSearch”，接下来“Get Imports”，然后会找到一些函数，然后Fix Dump，目标程序为OD脱壳后的程序，保存就OK了，修正的文件为脱壳后的文件后面加一个下划线。
程序载入Stud_PE，尝试将刚保存的文件使用stud_PE进行EP修复：
使用两个版本的脱壳机测试手工脱壳成果，应该是成功了，下面使用strings工具提取可打印字符来验证下：
测试使用超级巡警V1.3脱壳后的程序：
测试手动脱壳的程序：
证明手动脱壳成功。
后续壳的进一步分析，由于对于IDA知之甚少，就不做进一步分析了。
原文地址：https://www.cnblogs.com/ghost00011011/p/8996610.html