20145328 《網絡對抗技術》惡意代碼分析

20145328 《網絡對抗技術》惡意代碼分析

------看到這句話說明還沒寫完--------

實踐內容：

• 使用schtasks指令監控系統運行
• 使用sysmon工具監控系統運行
• 使用virscan分析惡意軟件
• 使用systracer工具分析惡意軟件
• 使用wireshark分析惡意軟件回連狀況
• 使用Process Monitor分析惡意軟件
• 使用Process Explorer分析惡意軟件
• 使用PEiD分析惡意軟件

基礎問題回答

(1) 若是在工做中懷疑一臺主機上有惡意代碼，但只是猜測，全部想監控下系統一每天的到底在幹些什麼。請設計下你想監控的操做有哪些，用什麼方法來監控。

• 監控的方式仍是挺多的，使用Win自帶的Schtasks指令能夠設置一個計劃任務來記錄主機的程序聯網等狀況
• 經過sysmon工具，配置本身想要記錄的文件，而後經過事件查看器查看日誌

(2) 若是已經肯定是某個程序或進程有問題，你有什麼工具能夠進一步獲得它的哪些信息。

• 使用Wireshark進行抓包分析，查看該程序聯網時進行了哪些操做；
• 使用systracer工具分析某個程序執行先後，計算機註冊表、文件、端口的一些變化狀況。
• 使用Process Explorer工具，對可疑的程序進行分析，查看其從一些dll中調用的函數來猜想程序功能。

實驗總結與體會

• 此次是開學到如今完成時間最長的實踐，拖了這麼長時間並非由於實踐內容有多難，而是由於本次實踐內容基本上都是一些分析的東西，相對來講就枯燥不少了，特別是對着屏幕上一大堆數據的時候整我的都快瘋了。但實際上靜下心來慢慢梳理，仍是比較簡單的，由於數據類似性很高，把一些常常出現的重複項去掉，分析起來就方便了不少。可是還存在一個問題就是可能你分析了半天發現電腦裏好像一切正常，但可能只是剛好電腦裏的惡意軟件沒有搞事情而已，越說心越累

實踐過程記錄

使用schtasks指令監控系統運行

• 打開Windows下命令提示符，輸入指令C:\schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"指令建立一個每隔五分鐘記錄計算機聯網狀況的任務：
  

• 在C盤目錄下創建一個netstatlog.bat文件，用來將記錄的聯網結果格式化輸出到netstatlog.txt文件中，netstatlog.bat內容爲：
  

• 再打開計劃任務將其中每5分鐘執行的指令從"cmd /c netstat -bn > c:\netstatlog.txt"替換爲「c:\netstatlog.bat」，打開C:\netstatlog.txt：
  

• 時隔一天，netstatlog.txt文件已經達到兩百多K了，裏面的記錄內容也是至關的長，圖中能夠看到記錄內有顯示個人瀏覽器正處於聯網的狀態
  

• 中間開啓過一次上次實驗所作的後門軟件進行回連，但在該指令記錄以前就已經關閉了，所以文檔中並無找到，說明也不能徹底的就信任該指令對於系統運行的監控記錄，有可能個人系統裏面確實是存在惡意軟件的，只是恰好在監控進行記錄的時候它沒有搞事情，這樣一來就不會被記錄在案了，解決方法只能是減少記錄時間的間隔，但這樣一來所帶來的的問題就是須要分析的數據內容會隨着記錄時間間隔減少而增多
  

使用sysmon工具監控系統運行

• sysmon微軟Sysinternals套件中的一個工具，能夠從碼雲項目的附件裏進行下載，要使用sysmon工具先要配置文件，直接用的老師給的配置文件，這裏雖然是複製粘貼就好了但仍是要注意xml配置文件是大小寫敏感的，在對配置進行修改的時候要注意：
  

• 配置好文件以後，要先使用Sysmon.exe -i C:\Sysmoncfg.xml指令對sysmon進行安裝：
  

• 啓動以後，即可以到事件查看器裏查看相應的日誌，好比這個事件是以前作計劃任務時所建立的
  

• 例以下面的事件是在實踐過程當中截圖時建立文件：
  

使用virscan分析惡意軟件

• 在virscan網站上查看上次實驗所作的後門軟件的文件行爲分析：
• 能夠看到其啓動回連主機的部分IP地址以及端口號，還有對註冊表鍵值進行了刪除：
• 還有反調試和建立事件對象的行爲：
• 如圖是計算機病毒課程中須要分析的示例軟件中的dll文件在Virscan.org上的文件行爲分析：

使用systracer工具分析惡意軟件

使用wireshark分析惡意軟件回連狀況

使用Process Monitor分析惡意軟件

使用Process Explorer分析惡意軟件

使用PEiD分析惡意軟件

• 使用PEiD軟件能夠查看惡意軟件的殼的相關信息，以及其所使用的編譯器版本，這裏所查看的兩個軟件是計算機病毒課程中老師所給的示例軟件，咱們能夠很直接的看見在圖中是直接顯示了軟件所使用的編譯語言，所以這兩個軟件是無殼的