20154324 刘康权 Exp4 恶意代码分析

2023-10-15 11:50

本文主要是介绍20154324 刘康权 Exp4 恶意代码分析,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

一、实践目标与内容

1.实践目标

  1. 监控自己系统的运行状态,查看是否有可疑的程序在运行。

  2. 使用多种工具分析一个之前实验中生成的后门软件。

  3. 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

2.实践内容

  • 系统运行监控

(1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述一下分析结果。目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不。如果想进一步分析的,可以有针对性的抓包。

(2)安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。

  • 分析恶意软件在(1)启动回连,(2)安装到目标机,(3)及其他任意操作时
  • 读取、添加、删除了哪些注册表项
  • 读取、添加、删除了哪些文件
  • 连接了哪些外部IP,传输了什么数据(抓包分析)

二、实践过程与步骤

1.使用Windows计划任务,监控系统运行

1.1首先在c盘创建一个txt文件,输入以下内容后另存为bat文件

date /t >> c:\20154324_2.txt time /t >> c:\\20154324_2.txt netstat -bn >> c:\\20154324_2.txt
-即保存日期,时间和活动连接

1.2在Windows系统下,打开控制面板,搜索任务计划,进去后就可以开始创建任务,填写任务名称后,新建一个触发器,设置为每五分钟运行一次,且以最高权限运行(因为我的bat在c盘,需要管理员权限),并新建操作启动bat文件。

1344859-20180412191010142-853561281.png

1344859-20180412191017547-1257430996.png

1.3查看保存了一天信息的txt文件,并导入Excel,运用数据透视表进行分析,可以看到最多的是360se即360浏览器,因为中途多次用了360浏览器查阅资料

1344859-20180412230003446-1249696988.png

1344859-20180412225829245-1944930185.png

1.4再分析了对外的连接情况,但看到最多的是127.0.0.1即本机地址,后来经过查询得知,127.0.0.1 是绑定在 loopback 接口上的地址,如果服务端套接字绑定在它上面,你的客户端程序就只能在本机访问

1344859-20180412225927672-1075491987.png

1.5查询了其中感兴趣的几个进程,其中常见的360se为360游览器,360tray是360安全卫士,并查到360的ip都是河南的,而我不知道两个进程et.exe和conhost.exe是啥,查询后知道conhost是微软的系统文件,et是wps表格。

1344859-20180412193529371-122108804.png

2.使用sysmon工具,监控自己主机

2.1 下载sysmon工具后,编辑配置文件xml,通过代码进行安装,并通过-c进行更新

Sysmon.exe -i C:\Analyse\20154324_3.txt
1344859-20180412194151423-1014193161.png

2.2 通过win+r,输入evevntvwr查看日志,找到应用程序和服务日志-->Microsoft-->windows-->sysmon,就可以查看日志了
  • 因为之前尝试netstat -bn 的功能没有关闭cmd,所以可以看到cmd在运行
    1344859-20180412194640878-159894921.png

  • 还可以看到已经回连成功,正在运行的后门程序
    1344859-20180412194816161-1082779212.png

3.使用systracer分析之前生成的后门程序

  • 其中#1为后门程序安装到目标机后
  • 其中#2为启动回连后
  • 其中#3为回连后执行ls命令
  • 其中#4为回连后执行mkdir命令
    1344859-20180412195118521-569800174.png
3.1 #1和#2进行比较
3.1.1注册表信息进行比较,我发现主要是CurrentVersion中的Explorer和interent setting注册表信息发生了变化,但是systracer不能查看更详细的信息,我认为是后门程序伪装成explorer,所以更改了其中的注册表信息。

1344859-20180412200016327-2093809611.png

3.1.2文件信息进行比较,没有变化,而查看端口,可以看到主机连接了KALI主机

1344859-20180412200327568-1436484539.png

3.2 #2和#3进行比较,发现注册表信息没有变化,文件也没有变化,而查看端口可以发现新增了一个连接,其他都是正常的windows search搜索引擎服务的变化,但是一查,这个新增的连接竟然是美国的ip

1344859-20180412200941501-1941921854.png
1344859-20180412200946405-1492865078.png

3.3 #2和#4进行比较
3.3.1首先注册表信息还是CurrentVersion中的Explorer和interent setting注册表信息发生了变化,而让我最震惊的就是,360和qq管家竟然会更新注册表信息,我猜想是猜测出了木马的行为,所以进行更新

1344859-20180412201305720-1936041123.png

1344859-20180412201311023-491707832.png

3.3.2查看文件,可以发现我们创建文件的命令成功了,成功在c盘创建了文件夹
3.3.3查看端口,没有什么变化,都是游览器或者系统的正常更新

1344859-20180412201531949-459771359.png

  • 最后附一张回连后执行的指令
    1344859-20180412201600665-167742368.png
4.使用process monitor分析回连后的情况
  • 通过查找后门程序名字找到后门程序,可以看到后门程序伪装成了explorer进程,会一直查询、修改注册表信息,且在执行ls命令后会执行查看目录的操作
    1344859-20180412201748289-2096783976.png
5.使用火绒杀毒软件中的火绒剑分析回连后的情况
  • 火绒是一款非常强大的杀毒软件,而且不像360一样,一装就是360全家桶,比360不知道强到哪去了
  • 进入火绒后,在扩展工具里就能找到火绒剑,我是通过查找我的后门程序名字找到的,进一步确定后门程序伪装成了explorer程序
    1344859-20180412202023369-1254841169.png

1344859-20180412202016722-1000805247.png

6.使用virscan网站对文件进行分析
  • 可以看到有7个引擎识别了出来,基本确认是病毒文件
    1344859-20180412204329818-758928228.png

三、问题回答

(1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控?

  • 我认为需要监控端口连接情况,注册表信息,文件信息,我想可以通过设置任务计划定时的,通过启动一个记录系统连接情况的程序实现监控端口连接情况。然后通过使用SysTracer等类似软件,定时拍照,查看注册表信息,文件信息等信息。

(2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息?

  • 可以通过火绒剑实时监控这个程序或进程在做的事以及对外的连接,还可以通过SysTracer在执行该进程前后进行拍照,查看端口连接情况,注册表信息,文件信息的变化,还可以通过process monitor查看在该进程启动后执行的具体的操作,还可以将这个程序上传到virscan网站上通过多个杀毒引擎进行判断。

四、实验总结与体会

  • 在当了多次的“小偷”后,我们这次实验终于到了一次“警察”,对过去自己的所作所为进行分析,知道了不少小却十分方便的工具,也知道了Windows自带的一些很方便的服务。通过这些工具,可以查看“小偷”对我们的电脑做了些什么,从而对“小偷”进行管理。

转载于:https://www.cnblogs.com/liukangquan/p/8810392.html

这篇关于20154324 刘康权 Exp4 恶意代码分析的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/217518

相关文章

Apache 高级配置实战之从连接保持到日志分析的完整指南

《Apache高级配置实战之从连接保持到日志分析的完整指南》本文带你从连接保持优化开始,一路走到访问控制和日志管理,最后用AWStats来分析网站数据,对Apache配置日志分析相关知识感兴趣的朋友... 目录Apache 高级配置实战:从连接保持到日志分析的完整指南前言 一、Apache 连接保持 - 性

Linux中的more 和 less区别对比分析

《Linux中的more和less区别对比分析》在Linux/Unix系统中,more和less都是用于分页查看文本文件的命令,但less是more的增强版,功能更强大,:本文主要介绍Linu... 目录1. 基础功能对比2. 常用操作对比less 的操作3. 实际使用示例4. 为什么推荐 less?5.

spring-gateway filters添加自定义过滤器实现流程分析(可插拔)

《spring-gatewayfilters添加自定义过滤器实现流程分析(可插拔)》:本文主要介绍spring-gatewayfilters添加自定义过滤器实现流程分析(可插拔),本文通过实例图... 目录需求背景需求拆解设计流程及作用域逻辑处理代码逻辑需求背景公司要求,通过公司网络代理访问的请求需要做请

Java集成Onlyoffice的示例代码及场景分析

《Java集成Onlyoffice的示例代码及场景分析》:本文主要介绍Java集成Onlyoffice的示例代码及场景分析,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要... 需求场景:实现文档的在线编辑,团队协作总结:两个接口 + 前端页面 + 配置项接口1:一个接口,将o

IDEA下"File is read-only"可能原因分析及"找不到或无法加载主类"的问题

《IDEA下Fileisread-only可能原因分析及找不到或无法加载主类的问题》:本文主要介绍IDEA下Fileisread-only可能原因分析及找不到或无法加载主类的问题,具有很好的参... 目录1.File is read-only”可能原因2.“找不到或无法加载主类”问题的解决总结1.File

Dubbo之SPI机制的实现原理和优势分析

《Dubbo之SPI机制的实现原理和优势分析》:本文主要介绍Dubbo之SPI机制的实现原理和优势,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Dubbo中SPI机制的实现原理和优势JDK 中的 SPI 机制解析Dubbo 中的 SPI 机制解析总结Dubbo中

C#继承之里氏替换原则分析

《C#继承之里氏替换原则分析》:本文主要介绍C#继承之里氏替换原则,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录C#里氏替换原则一.概念二.语法表现三.类型检查与转换总结C#里氏替换原则一.概念里氏替换原则是面向对象设计的基本原则之一:核心思想:所有引py

基于Go语言实现Base62编码的三种方式以及对比分析

《基于Go语言实现Base62编码的三种方式以及对比分析》Base62编码是一种在字符编码中使用62个字符的编码方式,在计算机科学中,,Go语言是一种静态类型、编译型语言,它由Google开发并开源,... 目录一、标准库现状与解决方案1. 标准库对比表2. 解决方案完整实现代码(含边界处理)二、关键实现细

PostgreSQL 序列(Sequence) 与 Oracle 序列对比差异分析

《PostgreSQL序列(Sequence)与Oracle序列对比差异分析》PostgreSQL和Oracle都提供了序列(Sequence)功能,但在实现细节和使用方式上存在一些重要差异,... 目录PostgreSQL 序列(Sequence) 与 oracle 序列对比一 基本语法对比1.1 创建序

慢sql提前分析预警和动态sql替换-Mybatis-SQL

《慢sql提前分析预警和动态sql替换-Mybatis-SQL》为防止慢SQL问题而开发的MyBatis组件,该组件能够在开发、测试阶段自动分析SQL语句,并在出现慢SQL问题时通过Ducc配置实现动... 目录背景解决思路开源方案调研设计方案详细设计使用方法1、引入依赖jar包2、配置组件XML3、核心配