20165101刘天野 2018-2019-2《网络对抗技术》Exp4 恶意代码分析
1. 实践目标
1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。
1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。
2. 实践内容
2.1 系统运行监控
（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
以管理员身份打开cmd，使用指令schtasks /create /TN 20165101netstat /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:
etstatlog.txt创建计划任务20165101netstat，记录每1分钟计算机联网情况：
在桌面上创建一个20165101netstatlog.txt文件，编辑文件内容如下：
date /t >> c:
etstatlog.txt
time /t >> c:
etstatlog.txt
netstat -bn >> c:
etstatlog.txt
保存后修改文件名为“20165101netstatlog.bat”；
粘贴到C盘中，此时需要用管理员权限；
打开计算机管理的“任务计划程序库”，可以查看到20165101netstat任务就绪，打开其属性，修改其指令为c:20165101netstatlog.bat
在属性中“条件”这一选项中的“电源”一栏中，取消勾选“只有计算机使用交流电源才启动此任务”，这里主要防止笔记本电脑一断开电源任务就停止
等待一段时间，将存储的数据通过excel表进行整理
总结：
由上图得知，最常用的几个进程是360se.exe(360浏览器)、vmnat.exe
（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
首先创建配置文件20165101sysmon.xml，文件中包含指令：
<Sysmon schemaversion=":4.20">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>
在官网上下载sysmon工具
以管理员身份打开命令行，使用指令Sysmon.exe -i C:20165101sysmon.xml安装sysmon
安装成功
在事件查看器中的应用程序和服务日志下，查看Microsoft->Windows->Sysmon->Operational。在这里，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息。
打开后门程序，在服务日志中发现了后门程序
2.2 恶意软件分析
分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
（1）读取、添加、删除了哪些注册表项
（2）读取、添加、删除了哪些文件
（3）连接了哪些外部IP，传输了什么数据（抓包分析）
第一步：使用Systracer分析。
1.首先下载完成后进行安装，步骤为：agree->选第二个
2.设置监听端口号
3.在打开后门前先快照一下，点击“take snapshot”
本实验共拍摄五个快照
快照一：未移植后门程序
快照二：移植后门程序
快照三：运行后门程序并在kali中实现回连
快照四：在kali中使用dir指令
快照五：在kali中使用record_mic指令
4.分析结果
对比快照一和快照二，发现后门程序已经被植入电脑中
对比快照二和快照三，发现后门程序已经启动，并建立了TCP连接，同时增加了注册表主键
对比快照三和快照四，发现后门程序删除了一些注册表的主键，同时又增加了新的主键
对比快照四和快照五，发现发现后门程序删除了一些注册表的主键，同时又增加了新的主键。同时由于此时Windows Defender发现了后门程序，TCP连接中断。
第二步：使用wireshark分析。
1.在回连之前，开始捕获；
2.回连完成后结束捕获，并把过滤规则设置为ip.src == 192.168.1.172 or ip.addr == 192.168.1.172，这里我只想查看和虚拟机IP有关的数据包
3.这里我们可以看到完整的TCP三次握手协议
4.我们再Kali里输入dir指令，我们可以看到产生了大量的数据包。
第三步：使用peid。
下载Peid工具，对上次实验中用Veil生成的加壳的后门程序进行查壳
从上面我们可以看到该程序加的是UPX的壳，版本为0.89.6
加密壳貌似没成功
3. 实验后回答问题
（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所以想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
-
利用sysmon工具，配置好想要监控的端口、注册表信息、网络连接等信息，通过其生成的日志文件进行查看
-
利用wireshark查看数据包，但是由于数据量太大，分析起来比较困难
-
利用systracer进行快照，比照注册表、文件等信息
（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
-
用wireshark分析数据包
-
systracer进行快照的对比（注册表、文件等）
-
peid查看是否加壳