2018-2019-2 20165221『网络对抗技术』Exp4:恶意代码分析

实验要求:

  • 是监控你自己系统的运行状态,看有没有可疑的程序在运行。
  • 是分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。
  • 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

实验内容:

  • 系统运行监控

    1. 使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述一下分析结果。目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不。如果想进一步分析的,可以有针对性的抓包。
    2. 安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。
  • 恶意软件分析
    1. 分析该软件在(1)启动回连,(2)安装到目标机(3)及其他任意操作时

      1. 读取、添加、删除了哪些注册表项
      2. 读取、添加、删除了哪些文件
      3. 连接了哪些外部IP,传输了什么数据(抓包分析)

具体实验操作:

系统运行监控

  • 使用

    schtasks /create /TN netstat20165221 /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"成功创建任务netstst20165221

  • 在C盘中新建文件20165221netstatlog.bat1,并放入以下内容
  1. date /t >> c:\netstatlog.txt
  2. time /t >> c:\netstatlog.txt
  3. netstat -bn >> c:\netstatlog.txt
  • 打开任务计划程序,就可以找到新建的这个进程

  • 双击这个任务,点击操作并编辑,将“程序或脚本”改为我们创建的20165221netstatlog.bat1批处理文件,确定。

  • 点击常规,点击使用最高权限运行:

  • 如在"条件"选项卡中把“只有在计算机使用交流电源时才启动此任务”选项关闭

  • 运行一段时间后,就可以在刚刚创建的文件中查看本机的联网记录

  • 最后做成excel表格

安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为

  • 创建sysmon5221.txt 作为配置文件
  1. <Sysmon schemaversion="4.20">
  2. <!-- Capture all hashes -->
  3. <HashAlgorithms>*</HashAlgorithms>
  4. <EventFiltering>
  5. <!-- Log all drivers except if the signature -->
  6. <!-- contains Microsoft or Windows -->
  7. <ProcessCreate onmatch="exclude">
  8. <Image condition="end with">chrome.exe</Image>
  9. </ProcessCreate>
  10. <FileCreateTime onmatch="exclude" >
  11. <Image condition="end with">chrome.exe</Image>
  12. </FileCreateTime>
  13. <NetworkConnect onmatch="exclude">
  14. <Image condition="end with">chrome.exe</Image>
  15. <SourcePort condition="is">137</SourcePort>
  16. <SourceIp condition="is">127.0.0.1</SourceIp>
  17. </NetworkConnect>
  18. <NetworkConnect onmatch="include">
  19. <DestinationPort condition="is">80</DestinationPort>
  20. <DestinationPort condition="is">443</DestinationPort>
  21. </NetworkConnect>
  22. <CreateRemoteThread onmatch="include">
  23. <TargetImage condition="end with">explorer.exe</TargetImage>
  24. <TargetImage condition="end with">svchost.exe</TargetImage>
  25. <TargetImage condition="end with">winlogon.exe</TargetImage>
  26. <SourceImage condition="end with">powershell.exe</SourceImage>
  27. </CreateRemoteThread>
  28. </EventFiltering>
  29. </Sysmon>
  • 进入sysmon 解压的路径执行sysmon.exe -i C:\sysmon\sysmon5227.txt 进行安装

  • 进入时间查看器,查看相关信息

  • 在虚拟机中打开msfconsole,随后在win7虚拟机中运行实验三的后门程序,在kali中进行回连。

  • 在进程中查找关键字



使用各种软件进行恶意软件分析

  • 首先在kali中用指令得到进程的端口号
  • 文件扫描:使用在线工具对上次实验中生成的.jar文件进行扫描

  • 查看这个恶意代码的基本属性

  • 可以看出它的SHA-1、MD5摘要值、文件类型、文件大小,以及TRiD文件类型识别结果。还可以看到加壳情况:

使用PEiD分析恶意软件

  • 在win7中下载并安装PEID

  • 查看加过压缩壳的后门程序
  • 如果没有对实验三的后门程序加壳的话,什么也不会显示的

  • 动态分析--使用systracer分析恶意软件
  • 先下载安装软件然后再对回连前后进行快照,take snapshot:

  • Compare,比对一下回连前后计算机发生的变化,选择only difference,查看改变的地方;



  • 用Wireshark分析恶意代码
  • 先查看虚拟机中的ip

    192.167.56.102
  • 首先先在kali中打开监控,在win7中打开后门程序进行回连,此时即可在

    Wireshark上捕获巨大的流量。

  • 通过对数据包的分析即可看到其对端口的占用信息

基础知识问答

  • 如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。
  • 可以使用实验中用到的分析工具,比如systracer进行分析比较程序执行前后对计算机的影响
  • 也可以进行抓包操作来分析
  • 使用本次实验任务一中用到的netstat命令来设置一个任务计划,在每一个固定间隔时间内记录主机的联网记录
  • 如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。
  • 可以使用systracer工具比较某个程序的执行前后计算机注册表、文件、端口的变化情况。
  • 可以使用Wireshark进行抓包分析,然后查看该程序联网时进行了哪些操作

实验体会

  • 这次的实验没有上周的实验复杂,遇到的主要问题就是做实验时,先使用的是图书馆的WiFi,后来回宿舍时继续做实验,用的是自己的热点,导致ip地址变来变去,耽误了不少时间。
  • 这次试验我们也从上周的攻击者变成了防御者,通过一些外在手段去分析自己电脑中的一些问题,还是有不少收获的。

2018-2019-2 20165221『网络对抗技术』Exp4:恶意代码分析的更多相关文章

  1. 2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165232 Exp4 恶意代码分析 1.实践目标 监控你自己系统的运行状态,看有没有可疑的程序在运行. 分析一个恶意软件,就分析Exp2或Exp3中生成后门 ...

  2. 2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析

    - 2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析 - 实验任务 1系统运行监控(2分) (1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP ...

  3. 2018-2019-2 网络对抗技术 20165317 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165317 Exp4 恶意代码分析 实验要求 1.系统运行监控 使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里.运行一段时间 ...

  4. 2018-2019-2 网络对抗技术 20165225 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165225 Exp4 恶意代码分析 实践目标 1.1是监控你自己系统的运行状态,看有没有可疑的程序在运行. 1.2是分析一个恶意软件,就分析Exp2或Exp ...

  5. 2018-2019-2 网络对抗技术 20165336 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165336 Exp4 恶意代码分析 1.实践目标 1.1是监控你自己系统的运行状态,看有没有可疑的程序在运行. 1.2是分析一个恶意软件,就分析Exp2或E ...

  6. 2018-2019-2 20165236 《网络对抗技术》Exp4 恶意代码分析

    2018-2019-2 20165236 <网络对抗技术>Exp4 恶意代码分析 一.1.实践目标 1.1是监控你自己系统的运行状态,看有没有可疑的程序在运行; 1.2是分析一个恶意软件, ...

  7. 2018-2019-2 网络对抗技术 20165316 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165316 Exp4 恶意代码分析 一.原理与实践说明 1.实践目标 监控你自己系统的运行状态,看有没有可疑的程序在运行. 分析一个恶意软件,就分析Exp2 ...

  8. 2018-2019-2 网络对抗技术 20165228 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165228 Exp4 恶意代码分析 1.如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么.请设计下你想监控的操作有哪 ...

  9. 2018-2019-2 网络对抗技术 20165308 Exp4 恶意代码分析

    2018-2019-2 网络对抗技术 20165308 Exp4 恶意代码分析 实验过程 一.系统运行监控 (1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里.运行一 ...

随机推荐

  1. Django Rest Framework(二)

    •基于Django 先创建一个django项目,在项目中创建一些表,用来测试rest framework的各种组件 models.py class UserInfo(models.Model): &q ...

  2. 【算法】shortest distance

    好不容易找到的. #include<iostream> #include<iomanip> #include<cmath> using namespace std; ...

  3. Java的properties文件读取和属性修改

    package Test; import java.io.BufferedInputStream;import java.io.FileInputStream;import java.io.FileO ...

  4. Warning: Using a password on the command line interface can be insecure.

    [root@qttc ~]# /usr/local/mysql/bin/mysqldump  -uroot -proot db > bak.sqlWarning: Using a passwor ...

  5. CSS中的BFC

    CSS当中BFC介绍 在前端当中,我们都知道标准文档流,我们在开发的时候,经常会碰到block和inline.而下文要说到的BFC就是对块级盒子的格式化.当然block级别的盒子是BFC,那么inli ...

  6. ECMA262,JavaScript引擎,浏览器

    相关阅读:https://www.cnblogs.com/970119449blog/p/8080133.html 相关阅读:https://www.jb51.net/article/75888.ht ...

  7. [SDOI2017]天才黑客

    题目大意 给一张有向图,再给一颗字典树,有向图上的每条边有一个非负边权还有一个字典树上的字符串,从一条边到另一条边的代价是那条边的边权和这两个字符串的最长公共前缀,问从1到其他点的最短路. 题解 一看 ...

  8. go实现dgraph的各种操作

    go实现dgraph的各种操作 import "github.com/dgraph-io/dgo" import "github.com/dgraph-io/dgo/pr ...

  9. 第一个thinkphp项目遇到的知识

    本文是于项目完成后所写,基本是想到 哪写到哪,所以顺序会很乱. 1.在后台处理ueditor这种文本编辑器的时候,会遇到取值问题,如果你想要取纯文本内容:getContentTxt(),没有段落格式: ...

  10. codeforces-1142 (div1)

    div1真难,现在就是后悔, 非常后悔 A.显然如果我们知道起点和终点是哪两个点,我们可以算出距离通过b / gcd(a,b)的方式求出需要走几步的. 并且数据范围似乎也允许我们这么做,所以直接枚举取 ...