《网络攻防》Exp4 恶意代码分析
一、实验问题回答
- 如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
- 可以使用工具监测系统，之后进行下一步分析。
- 在windows下建立一个监测本机连接ip地址的任务计划程序。
- 通过sysmon监控重要操作，并找到日志查看。
- 如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
- PEiD工具，可以查看程序有没有被常用的加壳软件加壳。
- PE explorer工具，它可以对程序调用库等信息进行分析查看，还可以对其反汇编。
- 启动该程序，利用systracer及wireshark动态分析程序动向。
二、实验过程
- 使用schtasks指令监控系统运行
1.建立文件 netstatlog.bat,文件内容为：
date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt
其作用为把记录下来的联网结果记录到netstatlog.txt文件中。
- 使用管理员权限运行命令提示符，使用指令
schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务：
- 可以看到
netstatlog.txt文件中有：
端口号、ip地址都有记录。
- 使用sysmon监控系统运行
- 使用老师提供的配置文件模板进行修改存放在在了C盘。
- 以管理员身份运行命令行，在sysmon所在的目录下，使用指令
sysmon.exe -i "Sysmoncfg.txt所在路径"安装sysmon。
- 打开应用程序和服务日志，根据```Microsoft->Windows->Sysmon->Operational``路径找到记录文件。
- systracer注册表分析
- 下载systracer并安装后点击take snapshot捕获快照
- 为了体会到该工具的威力，我在捕获的过程中运行了之前实验中使用过的后门，与目标主机回连。
- 在快照中我们会发现opened ports ，点开之后可以看到IP以及端口
- 联网情况分析
- 在后门程序回连的过程中，使用wireshark，进行捕包分析
- 查看详细的协议分析发现，后门程序建立了三次握手并回连时进行了基于IP和端口的连接
- Process Monitor分析
- 下载、安装并打开Process Monitor，就可以直接看到win 7 执行的程序的变化。
- 从中可以查找到后台程序Project1.exe的运行。
- Process Explorer分析
- 下载、安装并打开Process Explorer， 在Process栏可以找到Project1.exe
- 双击点开后，以查看不同的信息：TCP/IP页签有程序的连接方式、回连IP、端口等信息。
三、实验总结与体会
这次实验用到的工具众多，体验颇为丰富，只是有关分析的部分，本人做的不够，颇为遗憾。为此我分析了两点：1.本人的知识不够，2.虚拟机中的软件不多，截取的信息量不够，3.也是重要的一点，人比较懒（鬼脸）。以后一定克服懒惰，耐下性子，仔仔细细做实验，认认真真写博客。