Exp4 恶意代码分析 20154301仉鑫烨
20154301 Exp4 惡意代碼分析
20154301 仉鑫燁
一、 實踐內容
- （1）使用如計劃任務，每隔一分鐘記錄自己的電腦有哪些程序在聯網，連接的外部IP是哪里。運行一段時間并分析該文件，綜述一下分析結果。目標就是找出所有連網的程序，連了哪里，大約干了什么(不抓包的情況下只能猜)，你覺得它這么干合適不。如果想進一步分析的，可以有針對性的抓包。
- （2）安裝配置sysinternals里的sysmon工具，設置合理的配置文件，監控自己主機的重點事可疑行為。
- （1）啟動回連時
- （2）安裝到目標機時
（3）其他任意操作時（如進程遷移或抓屏，重要是你感興趣）。該后門軟件
讀取、添加、刪除了哪些注冊表項？
讀取、添加、刪除了哪些文件？
連接了哪些外部IP，傳輸了什么數據（抓包分析）？
二、 基礎問題
如果在工作中懷疑一臺主機上有惡意代碼，但只是猜想，所有想監控下系統一天天的到底在干些什么。請設計下你想監控的操作有哪些，用什么方法來監控。
答：重啟計算機，并對計算機的注冊表，進程，端口，服務等內容進行檢測，并使用抓包軟件進行抓包，通過觀察注冊表，進程等內容的變化篩選出可疑的對象，然后針對可疑的對象在抓包過程中具體分析，看看有沒有可以的建立套接字（也就是連接其他IP地址）的可疑操作，觀察可以對象的流量是否異常，對數據包類型解析看看是否有可疑的內容。||| 方法：①注冊表信息的增添修改刪除。②用來進行網絡連接的IP地址端口號。③程序的一系列行為。④可以使用wireshark抓包分析，分析網絡連接狀態；查看軟件注冊表信息；使用SysTracer等軟件查看一段時間內系統注冊表信息文件標化情況，將這些信息錄入excel分析。。
如果已經確定是某個程序或進程有問題，你有什么工具可以進一步得到它的哪些信息。
答：①使用systracer工具，動態分析注冊表修改情況，分析原因，這樣做的目的，查看文件修改情況和端口情況并分析原因。②使用Wireshark進行抓包分析，查看該程序傳輸了哪些數據。
三、實驗過程
系統運行監控
1. Windows計劃任務schtasks
為實現每5min記錄下有哪些程序在連接網絡，輸入以下命令：
schtasks /create /TN 20154301netstat /sc MINUTE /MO 2 /TR "cmd /c netstat -bn > c:\netstatlog.txt"釋義：TN是TaskName的縮寫，我們創建的計劃任務名是20154301netstat；sc表示計時方式，我們以分鐘計時填MINUTE；TR=Task Run，要運行的指令是 netstat -bn,b表示顯示可執行文件名，n表示以數字來顯示IP和端口,MO 表示隔兩分鐘進行一次。
此命令完成后，每五分鐘就會監測哪些程序在使用網絡，并把結果記錄在netstatlog.txt文檔里，但是不顯示記錄的時間和日期，這可能不便于我們判斷，要是想顯示日期和時間，我們可以通過bat批處理文件來實現。
在C盤要目錄下建一個文件c:\netstatlog.bat（先把后綴設為txt，保存好內容后把后綴改為bat）
date /t >> c:\netstat4301.txt
time /t >> c:\netstat4301.txt
netstat -bn >> c:\netstat4301.txt
打開控制面板->任務計劃程序，找到我們的任務20154301netstat
雙擊點開，找到操作，點擊所有項里的屬性選項：
可以對任務進行修改：找到操作選項卡，選擇netstatlog.bat腳本。
修改成功后，顯示：
問題：無法定時記錄數據，需要打開最高權限。
可以看到記錄文件netstatlog.txt中的記錄有了時間：
接下來我們要做的就是等待，等記錄項目夠多了再進行分析。
這里我選擇用excel進行分析：
打開Excel點擊數據選項卡，在獲取外部數據的方式上選擇 來自文本，選擇我們之前記錄連接情況的文本netstatlog.txt：
選擇分隔符號：
分隔符號全部選上：
列數據格式選擇常規：
點擊完成，在excel中格式見下圖
首先去掉重復值：
最終刪除1872個重復值，確定19項內容：
分析其用途
| [vmware-hostd.exe] | 虛擬機 | 實驗 |
| [vmware-authd.exe] | 虛擬機 | 實驗 |
| [vmware.exe] | 虛擬機 | 實驗 |
| [YoudaoNote.exe] | 有道云筆記 | 實驗 |
| [WeChat.exe] | 微信 | 嘮嗑 |
| [360tray.exe] | 360安全衛士實時監控程序 | 安全軟件 |
| [360Game.exe] | 360游戲大廳 | ==???他咋老彈出來== |
| [WINWORD.EXE] | 微軟Microsoft Word的主程序 | 實驗存圖 |
| [EXCEL.EXE] | 微軟Microsoft Excel的主程序 | 實驗數據分析 |
| DiagTrack | 系統負責數據收集和錯誤信息 | |
| [svchost.exe] | 微軟Windows操作系統的系統程序 | |
| [360se.exe] | 從動態鏈接庫 (DLL) 中運行的服務 | |
| [SGTool.exe] | 搜狗輸入法的加速啟動程序 | 打字 |
| [360mobilesrv.exe] | 360手機助手 | ==360太流氓了自動上傳數據== |
| CryptSvc | 系統認證服務 | 微軟公鑰體系PKI |
總而言之我的電腦還是很安全的，但是360的流氓行為（自動后臺打開360手機助手并偷跑流量）確實通過這次實驗引起了我的注意。
2. Sysmon
明確監控目標
—— 網絡連接、驅動加載、遠程線程創建、進程創建、訪問和結束等sysmon微軟Sysinternals套件中的一個工具，可以從碼云項目的附件里進行下載，要使用sysmon工具先要配置文件，一開始我直接用的是老師給的配置文件,創建配置文件20154301.txt（注：一定要以管理員身份運行）：
配置好文件之后，要先使用Sysmon.exe -i C:\Sysmoncfg.txt指令對sysmon進行安裝：
啟動之后，便可以到事件查看器里查看相應的日志，在"運行"窗口輸入eventvwr命令（我是直接輸的，這個命令在哪個目錄輸都可以的），打開應用程序和服務日志，根據Microsoft->Windows->Sysmon->Operational路徑找到記錄文件：
我查看了其中一部分事件的詳細信息，比如這個事件是之前做計劃任務時所創建的：
例如下面的事件是360安全瀏覽器對文件的創建時間進行了更改，應該也就是更新：
將后門程序放入windows主機，在Kali下進行回連操作：
木馬很可能偽裝成電腦自帶的explorer.exe進程
之后，我對Sysmoncfg.txt配置文件進行了修改，重點是監視80和443以及4301端口的聯網情況
4301端口
443端口（忘了截圖了）
3. virscan
不知什么原因virscan出現一些問題無法像上屆同學一樣使用，故我最終選擇使用virustotal。
查看細節信息（我盡力想把它看懂，但是我沒有）
4. systracer
點擊take snapshot來快照，四個快照：1.將惡意軟件植入到目標主機中后；2.惡意軟件啟動回連時；3.惡意軟件執行dir命令進行查看時；4.惡意軟件進行截屏操作時。
比較1、2，我們可以看到很多信息，包括IP及端口
惡意軟件執行dir命令時無特殊信息，但在進行截屏操作時注冊表信息有了修改：
5. 聯網情況分析
在后門程序回連時，在主機的命令行中用netstat -n命令查看TCP連接的情況，可以發現其中有進行回連的后門程序：
回連時建立tcp連接
在后門程序回連時，打開wireshark，進行捕包分析，查看詳細的協議分析發現，后門程序建立了三次握手并回連時進行了基于IP和端口的連接
6. Process Monitor
- 打開Process Monitor就可以就看到按時間排序的winxp執行的程序的變化，運行一下后門程序4301.exe，再刷新一下Process Monitor的界面，可以指定查找到程序。
7. PEiD
- PEiD是一個常用的的查殼工具，可以分析后門程序是否加了殼。
加殼
不加殼
8. Process Explorer
打開Process Explorer，運行后門程序4301.exe，在Process欄可以找到4301.exe
- 雙擊后門程序4301.exe一行，點擊不同的頁標簽可以查看不同的信息：
TCP/IP頁簽有程序的連接方式、回連IP、端口等信息。
Performance頁簽有程序的CPU、I/O、Handles等相關信息。
四、實驗體會
- 本次實驗極為繁瑣，由于對各種軟件的不熟悉，消耗了很多時間，學長學姐們的報告給了我很多幫助。在實驗中，我掌握了各類分析惡意軟件的方法，也發現了自己電腦中平時沒有關注到的流氓軟件，十分受益。另外在本次實驗的學習過程中，我對惡意軟件的特征認識也有了很大的提升，比如篩選可以對象，查看是否含有建立套接字的可以操作等等。總之本次實驗雖然麻煩，但收獲良多。
轉載于:https://www.cnblogs.com/z20154301/p/8807752.html
總結
以上是生活随笔為你收集整理的Exp4 恶意代码分析 20154301仉鑫烨的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 自勉三句话--关于职业生涯规划
- 下一篇： 智慧养老之基于RFID技术下的智慧养老解