20155330 《网络攻防》 Exp4 恶意代码分析

实验后回答问题

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

使用Windows自带的schtasks指令设置一个计划任务，指定每隔一定时间记录主机的联网记录或端口开放、注册表信息等；
通过sysmon工具，配置需要记录事件的文件，之后在事件查看器里找到相关日志文件查看；
使用Process Explorer工具，监视进程执行情况，查看是否有程序调用了异常的dll库之类的。

（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息

使用systracer工具分析某个程序执行前后，计算机注册表、文件、端口的一些变化情况。

实验过程

使用schtasks指令监控系统

在C盘目录下建立一个netstatlog.bat文件，用来将记录的联网结果格式化输出到netstatlog.txt文件中，netstatlog.bat内容为：

date /t >> c:\netstatlog.txt

time /t >> c:\netstatlog.txt

netstat -bn >> c:\netstatlog.txt

此时C盘中的文件：
打开Windows下命令提示符，输入指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务
右键点击“计算机”|“管理”，在计算机管理中点击“任务程序计划”|“任务程序计划库”，双击netstat任务计划项目，点击“操作”页签，“编辑”|修改“程序或脚本”为C:\netstatlog.bat
在“操作”中，将“只有在计算机使用交流电源时才启动此任务”选项取消
过了一会查看netstatlog.txt文件……
再次双击netstat任务计划项目，在“常规”页签中勾选“使用最高权限运行”
隔了大约一天之后，再次查看记录的主机联网日志。
根据张竞予同学的博客，制作了相关表格和饼状图。由于使用的是虚拟机进行实践，所以联网的应用程序种类较少。

使用sysmon工具监控系统

首先创建配置文件Sysmon20155303.xml，内容如下：

<Sysmon schemaversion="3.10">

  <!-- Capture all hashes -->

  <HashAlgorithms>*</HashAlgorithms>

  <EventFiltering>

<!-- Log all drivers except if the signature -->

<!-- contains Microsoft or Windows -->

<DriverLoad onmatch="exclude">

  <Signature condition="contains">microsoft</Signature>

  <Signature condition="contains">windows</Signature>

</DriverLoad>

<NetworkConnect onmatch="exclude">

  <Image condition="end with">chrome.exe</Image>

  <Image condition="end with">iexplorer.exe</Image>

  <SourcePort condition="is">137</SourcePort>

</NetworkConnect>

<CreateRemoteThread onmatch="include">

  <TargetImage condition="end with">explorer.exe</TargetImage>

  <TargetImage condition="end with">svchost.exe</TargetImage>

  <TargetImage condition="end with">winlogon.exe</TargetImage>

  <SourceImage condition="end with">powershell.exe</SourceImage>

</CreateRemoteThread>

  </EventFiltering>

</Sysmon>

使用命令Sysmon.exe -i C:\Sysmon20155330.xml安装Sysmon
在“事件查看器”中查看程序相关信息。
Sysmon.exe -c C:\Sysmon20155330.xml更改配置文件，监听443和80端口，无异常发生。

<Sysmon schemaversion="3.10">

  <!-- Capture all hashes -->

  <HashAlgorithms>*</HashAlgorithms>

  <EventFiltering>

<!-- Log all drivers except if the signature -->

<!-- contains Microsoft or Windows -->

<DriverLoad onmatch="exclude">

  <Signature condition="contains">microsoft</Signature>

  <Signature condition="contains">windows</Signature>

</DriverLoad>

<NetworkConnect onmatch="exclude">

  <Image condition="end with">SogouExplorer.exe</Image>

</NetworkConnect>

<NetworkConnect onmatch="include">

  <DestinationPort condition="is">80</DestinationPort>

  <DestinationPort condition="is">443</DestinationPort>

</NetworkConnect>

<CreateRemoteThread onmatch="include">

  <TargetImage condition="end with">explorer.exe</TargetImage>

  <TargetImage condition="end with">svchost.exe</TargetImage>

  <TargetImage condition="end with">winlogon.exe</TargetImage>

  <SourceImage condition="end with">powershell.exe</SourceImage>

</CreateRemoteThread>

  </EventFiltering>

</Sysmon>