20155330 《网络攻防》 Exp4 恶意代码分析

时间:2022-11-30 07:45:00

20155330 《网络攻防》 Exp4 恶意代码分析

实验后回答问题

(1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

  • 使用Windows自带的schtasks指令设置一个计划任务,指定每隔一定时间记录主机的联网记录或端口开放、注册表信息等;
  • 通过sysmon工具,配置需要记录事件的文件,之后在事件查看器里找到相关日志文件查看;
  • 使用Process Explorer工具,监视进程执行情况,查看是否有程序调用了异常的dll库之类的。

(2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息

  • 使用systracer工具分析某个程序执行前后,计算机注册表、文件、端口的一些变化情况。

实验过程

使用schtasks指令监控系统

  • 在C盘目录下建立一个netstatlog.bat文件,用来将记录的联网结果格式化输出到netstatlog.txt文件中,netstatlog.bat内容为:
date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt
  • 此时C盘中的文件:

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 打开Windows下命令提示符,输入指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 右键点击“计算机”|“管理”,在计算机管理中点击“任务程序计划”|“任务程序计划库”,双击netstat任务计划项目,点击“操作”页签,“编辑”|修改“程序或脚本”为C:\netstatlog.bat

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 在“操作”中,将“只有在计算机使用交流电源时才启动此任务”选项取消

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 过了一会查看netstatlog.txt文件……

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 再次双击netstat任务计划项目,在“常规”页签中勾选“使用最高权限运行”

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 隔了大约一天之后,再次查看记录的主机联网日志。

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 根据张竞予同学的博客,制作了相关表格和饼状图。由于使用的是虚拟机进行实践,所以联网的应用程序种类较少。

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析

使用sysmon工具监控系统

  • 首先创建配置文件Sysmon20155303.xml,内容如下:
<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad> <NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
</NetworkConnect> <CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>
  • 使用命令Sysmon.exe -i C:\Sysmon20155330.xml安装Sysmon

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 在“事件查看器”中查看程序相关信息。

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析
  • Sysmon.exe -c C:\Sysmon20155330.xml更改配置文件,监听443和80端口,无异常发生。
<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad> <NetworkConnect onmatch="exclude">
<Image condition="end with">SogouExplorer.exe</Image>
</NetworkConnect> <NetworkConnect onmatch="include">
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
</NetworkConnect> <CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>

20155330 《网络攻防》 Exp4 恶意代码分析

使用VirusTotal分析恶意软件

  • 把后门软件上传到VirusTotal进行扫描,只有16个软件没有检测出病毒……

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 查看这个恶意代码的基本属性

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 算法库支持情况

    20155330 《网络攻防》 Exp4 恶意代码分析

    20155330 《网络攻防》 Exp4 恶意代码分析

使用Process Monitor分析恶意软件

  • Process Monitor是一个高级的 Windows 系统和应用程序监视工具,使用者可以对系统中的任何文件和注册表操作同时进行监视和记录,通过注册表和文件读写的变化,诊断系统故障或是发现恶意软件、病毒或木马。
  • 以下为软件记录情况(部分)。

    20155330 《网络攻防》 Exp4 恶意代码分析

使用Process Explorer分析恶意软件

  • Process Explorer让使用者能了解看不到的在后台执行的处理程序,能显示目前已经载入哪些模块,分别是正在被哪些程序使用着,还可显示这些程序所调用的 DLL进程,以及他们所打开的句柄。
  • 后门软件运行情况记录:

    20155330 《网络攻防》 Exp4 恶意代码分析

使用PEiD分析恶意软件

  • PEiD(PE Identifier)是一款著名的查壳工具。
  • 未加壳扫描结果:

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 加壳后:

    20155330 《网络攻防》 Exp4 恶意代码分析

使用systracer分析恶意软件

  • 在kali对windows主机进行回连前后使用软件进行快照,然后对比。
  • 首先是注册表发生了变化:

    20155330 《网络攻防》 Exp4 恶意代码分析
  • 端口情况

    20155330 《网络攻防》 Exp4 恶意代码分析

实验体会

通过这次的学习和实践,主要对恶意代码的分析方式有了一定的了解。恶意代码分析主要分为静态分析和动态分析两种方式。通过和上一次的实践相结合,对恶意代码的隐蔽性有了更加深刻的了解。