zoukankan      html  css  js  c++  java
  • 20145229吴姗珊 《网络对抗技术》 恶意代码分析

    20145229吴姗珊 《网络对抗技术》 恶意代码分析

    相关知识

    基础问题

    (1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

    • 由wireshark捕包总结可以通过对流量,端口开放进行监控,因为恶意代码很重要的就是它会运用网络资源进行一些数据传输,所以对流量的监控是非常有必要的
    • 通过之前的静态分析总结而来我们可以对注册表是否增删修改,日志信息是否有异常进程入手进行监控
    • 通过PE explore可以看到文件的头信息,节头,数据目录,可以从导入库中分析是否是恶意代码

    (2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。

    • 首先可以去http://www.virscan.org上进行扫描,有一个文件行为分析,可以看个大概
    • 用PEID查看是否加壳
    • 用systracer可以进行快照,然后对比哪里发生变化进而进行研究
    • 用wireshark进行流量抓包观察其程序动向

    实验体会

    这次的实验主要是利用之前生成的后门程序,用各种软件进行静态动态分析,在我看来最有趣的地方就是我知道它是一个后门程序,我用各种工具从注册表,是否加壳等方面入手,了解了它是怎样对我的电脑进行破坏的,虽然对电脑真的肉疼,但是过程还是很有意思的,觉得自己在剖析一个攻击者的手法,比较偏向于实际应用,引导我们一步步去发现谁是恶意代码,恶意代码是如何暴露了自己,过程很有趣。
    好的说一点其他的问题,电脑要哭了!!每天都不给开防火墙不给杀软,每天都给它开后门!!太卡了!!所以后面的一些实验都是用手机拍图,希望不要介意,电脑太卡

    基础知识

    恶意代码

    • 恶意代码(Unwanted Code)是指没有作用却会带来危险的代码,一个最安全的定义是把所有不必要的代码都看作是恶意的,不必要代码比恶意代码具有更宽泛的含义,包括所有可能与某个组织安全策略相冲突的软件。
    • 恶意代码又称恶意软件。这些软件也可称为广告软件(adware)、间谍软件(spyware)、恶意共享软件(malicious shareware)。是指在未明确提示用户或未经用户许可的情况下,在用户计算机或其他终端上安装运行,侵犯用户合法权益的软件。与病毒或蠕虫不同,这些软件很多不是小团体或者个人秘密地编写和散播,反而有很多知名企业和团体涉嫌此类软件。有时也称作流氓软件。

    恶意代码分析

    • 静态分析基础技术(计算程序MD5值,检索M5值获取信息/查看可疑代码资源节获取特征)

    • 动态分析基础技术(配置“沙箱”环境/Dll类型文件的启动运行)

    • 本次分析的为msf生成的后门软件,就是实验二里生成的,当时删掉了所以重新生成了一个ss5229.exe

    • 静态分析
      1.特征库比对,将ss5229.exe提交至http://www.virscan.org进行分析,如下图所示

      被20个杀软检测出来了,很明显是恶意软件,接下来查看具体行为分析

    • 分析:
      如图,通过加壳,删除注册表,创建套接字连接,检测自身是否被调试都可以分析得出是一个恶意软件

    2.查看PE文件头中包含的代码信息

    • 进入PE后打开ss5229.exe,查看了文件头信息,节头,数据目录,以及引入的库


    分析:

    • 前面两个也没看出啥东西来,百度也没什么问题,百度了无数次发现了引入的库有问题

    • 如下图,advapi32.dll跟注册表操作有关,这就很尴尬了,至少有风险

    • wsock32.dll,Windows Sockets应用程序接口,创建连接危险

    • advapi32.dll也牵涉到注册表的操作,日志的修改,所以也是高危引用库

    • 前面两个.dll库没有大问题,msvcrt.dll是微软在windows操作系统中提供的C语言运行库执行文件;kernel32.dll是Windows 9x/Me中非常重要的32位动态链接库文件,属于内核级文件。它控制着系统的内存管理、数据的输入输出操作和中断处理

    • PEiD
      使用PEiD来分析我们的ss5229.exe是否加壳或者用什么编译的

      通过上图我们看到它啥都没有查出来,这很尴尬,通过百度说它啥编译器的问题,那我们从另一个角度入手,反汇编,如下图

    • 动态分析
      1.SysTracer进行分析

    • 首先在kali中进行监听,保存为Snapshot #1,听同学说她快照照了20秒就结束了,反正我现在照了15分钟了还没结束,呵呵呵

      好的,经过了17分钟终于结束

    • 现在点击ss5229.exe进行回连,成功后进行Snapshot #2 ,就不进行截图了,电脑真的太卡了,待会附对比图

    • 现在对靶机进行截图,然后进行快照Snapshot #3

    • 完成了所有的快照,接下来进行对比,1和2对比很明显的有ss5229.exe

    • 对比2,3的注册表以及程序,明显有了删除的痕迹,踪迹非常明显

    2.wireshark流量捕包

    • 在kali和靶机之间进行通信时,我们使用wireshark来捕包进行数据分析
      kali ip:192.168.222.128 主机ip:192.168.2.123
    • 如图所示我们捕获到了大量的三次握手的包(由于截图来回太卡了所以用手机拍了,不是特别清晰)
    • 当我这边已经回连成功进行截频的时候,wireshark捕到大量包

    3.任务计划(电脑太卡了截图工具崩了!!!所以拍照了!!)

    • 进入计算机/管理/任务计划,然后创建新的任务计划,命名netstat5229,触发器设置为5分钟执行一次

    • c盘下创建文件夹5229,编写脚本为netstat5229.txt,保存后后缀改为bat

    • 将任务计划操作设为我们的netstat5229.bat,参数为 >>c:5229 etstat5229.txt

    • 运行任务生成5229.txt

    • 然后我们就可以看txt里面的东西了,上面就是说我没有权限然后啥都不给我看,然后看有些同学的博客就说在新建任务那里点最高权限就可以,天哪噜我设置了还是没有权限,所以我打开了百度!!要右键点击管理员权限!!没有权限的朋友让我看到你们的双手,所以怎么说呢,遇到问题还是得自己解决,毕竟每个人电脑不一样遇到的问题不一样所以要独立思考呀

    • 说到解决问题的方面,好多同学用的NAT模式但是有的时候虚拟机崩了然后它就没有ip了!!!提供一个解决的方法,请点击你电脑里服务,查看VMWARE那几个有没有运行,然后你手动运行一般就解决了没有ip的问题,都不用重启!非常方便!

    4.sysmon

    • 安装的地方最重要的就是管理员权限的问题,使用右键在菜单里选择管理员权限
    • 然后输入命令,后配置xml,然后跳出来错误,黑人问号,百度了好多,翻遍了同学的博客都没有得到解决
  • 相关阅读:
    Android成长之路-LayoutInflater和inflate的用法
    Android成长之路-实现简单动画
    Android成长之路-编码实现软件界面
    Android成长之路-手势库的创建
    Android成长之路-手势识别的实现
    Android编程获取网络连接状态(3G/Wifi)及调用网络配置界面
    android中文字中间有超链接的实现方法
    Arduino可穿戴教程ArduinoIDE新建编辑源文件
    FMDB使用SQLite事务Save Point
    FMDB使用Cached Statement功能
  • 原文地址:https://www.cnblogs.com/20145229ss/p/6641438.html
Copyright © 2011-2022 走看看