其他分享
首页 > 其他分享> > 2019-2020-2 20175325石淦铭《网络对抗技术》Exp4 恶意代码分析

2019-2020-2 20175325石淦铭《网络对抗技术》Exp4 恶意代码分析

作者:互联网

2019-2020-2 20175325石淦铭《网络对抗技术》Exp4 恶意代码分析


目录:

  • 实验目标
  • 实验内容
  • 实验后回答问题
  • 实验感想

实验目标:

实验内容:

使用schtasks指令监控系统运行

1、使用命令schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt" 创建计划任务

2、在C盘要目录下建一个文件c:\netstatlog.bat内容如下:

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

3、接下来用schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"指令创建一个任务,记录每隔两分钟计算机的联网情况。

4、打开计算机管理 > 任务计划程序,可以看到新创建的这个任务

5、双击刚才创建的任务,在操作栏双击操作对操作进行编辑,在程序和脚本栏点击浏览选中刚才写好的netstatlog.bat

6、在常规栏勾选“不管用户是否登录都要运行”、“使用最高权限运行”

7、我们在netstat.txt文件中就可以看到任务的运行结果:

8、导入到Excel表格中

9、分析透视图

使用Sysmon工具监控系统运行

1、下载Sysmon,下载完成后解压压缩包

2、配置文件
打开记事本编写编写Sysmon配置文件Sysmoncfg.xml

<Sysmon schemaversion="4.00">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

3、启动cmd切换目录到Sysmon目录下,输入并执行安装指令sysmon.exe -c c:\Sysmoncfg.xml

4、成功安装

5、打开开始菜单右击->事件查看器->应用程序和服务日志->Microsoft->Windows->Sysmon->Operational我们可以看到按照配置文件的要求记录的新事件,以及事件ID、任务类别、详细信息等。

恶意软件分析

1、使用Virscan


进程分析:

文件分析:

2 使用systracer工具分析

3、使用wireshark分析
看到攻击机向靶机传送代码

4、使用Process Explorer分析恶意软件
双击打开后门,可以查看详细信息


5、使用PEiD分析恶意软件

实验后回答的问题:

1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。
答:用Sysmon,配置好需要记录的各类事件后,可以记录事件日志,可以审查所有需要的事件信息
使用Process Explorer监视异常进程,必要时定位文件,查看关联文件等签名。还可以使用Wireshark进行抓包分析,然后查看该程序联网时进行了哪些操作。
(2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。
答:在异常进程或程序不运行时,使用Systracer快照初始状态信息,并将异常后的信息与初始状态对比,查找异常行为,找到对注册表、文件、网络连接、句柄等修改或使用信息

实验感想:

这次实验让我了解到后门在系统中究竟是如何实现这些行为的(调用api、修改注册表、增删文件等),通过本次实验,我学会了如果把命令行下的结果记录到文件中、如何利用.bat文件显示时间、如何利用excel分析数据,如何利用Sysmon监控自己感兴趣的事件和如何对恶意代码进行进一步分析。通过动手实践,实现了从攻击者身份到检测者和分析者身份的转变,对恶意代码有了更深入的理解。

标签:分析,文件,exe,20175325,恶意代码,Sysmon,石淦铭,netstatlog,txt
来源: https://www.cnblogs.com/sgm5/p/12729316.html