20155211 Exp4 恶意代码分析
实践目标
1 监控你自己系统的运行状态，看有没有可疑的程序在运行。
2 是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。
实践内容
系统运行监控
（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
恶意软件分析
分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
（3）读取、添加、删除了哪些注册表项
（4）读取、添加、删除了哪些文件
（5）连接了哪些外部IP，传输了什么数据（抓包分析）
实践过程
使用schtasks指令监控系统运行
- 先在Win7中任意位置建立一个netstatlog.txt
date /t >> c: etstatlog.txt
time /t >> c: etstatlog.txt
netstat -bn >> c: etstatlog.txt
-
然后另存为时选择保存类型为任意文件，并将.txt后缀修改为.bat脚本文件，之后拖动到C盘根目录。
-
再新建一个空的netstatlog.txt文件，拖动到C盘根目录
-
打开Dos命令行，输入指令 schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c: etstatlog.bat" 创建一个每隔两分钟记录计算机联网情况的任务：（注意以管理员身份运行）
-
之后查看一下netstatlog.txt文件：（此时文件可能为空；打开控制面板-管理工具-任务计划程序，选择nestat,将权限改为最高权限）
使用sysmon工具监控系统运行
- 下载sysmon
- 在Sysmon.exe同目录下建立文件：test.txt，并输入以下XML：
<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>
-
管理员身份运行命令行提示符，输入指令： Sysmon.exe -i test.txt ，进行安装：
-
然后控制面板-管理工具-事件查看器。选择应用和服务日志-Windows-Operational查看
-
分析：
-
机器上的360安全管家
-
wmiprvse.exe是微软Windows操作系统的一部分。用于通过WinMgmt.exe程序处理WMI操作。这个程序对计算机系统的正常运行是非常重要的。
使用systracer工具分析恶意软件
-
建立了三个快照，分别是植入后门时，植入后门进行回连，回连输入dir命令
-
对比回连和未回连时，会发现建立了tcp端口
-
修改的文件，目录
- 快照文件中多了后门文件
使用Process Monitor分析恶意软件
- 使用Process Monitor对恶意软件进行分析时可以看到很多Explorer.exe进程，是恶意软件对其进程进行的伪装：
- 查看运行时的状态
在使用
总结
这次实验让我们知道了在怀疑电脑里有问题的时候，可以如何查看自己电脑正在运行的程序，感觉在上次实验感觉到的恐慌在这次被巧妙地化解了。不过实验中仍然有遇到的尚未找到解决的问题：在使用systracter进行快照时，曾经出现过如下问题
，因为没找到解决的方法，所以把软件卸载重装解决的。。。