Exp4 恶意代码分析 20154308张珊珊

一、基础问题回答

如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所以想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
- 想监控的有进程联网信息、修改注册表项、开机自启动信息等。
- 可以使用wireshark抓包分析，分析网络连接状态；查看软件注册表信息；使用SysTracer或者sysmon等软件查看一段时间内系统事件、注册表信息文件变化情况，将这些信息录入excel分析。
如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
- 用sysmon，可以根据用户自身的需求设置过滤内容，筛选出想要监听的数据（网络连接、进程创建、注册表变化等）
- 使用Wireshark进行抓包分析，简单直观
- 使用systracer工具，动态分析注册表以及文件、端口的修改情况，再根据已收集的日志数据，对有所怀疑的目标进行仔细分析，对来历不明的网络连接请求进行一个初步的安全判断，这样就可以对进程的行为有一个大致的定性分析，对于那些有问题不明确的进程，应该谨慎运行并分析原因。

二、实践过程

2.1 系统运行监控——Windows计划任务schtasks

1.为了显示日期与时间，我先在C盘下创建netstatlog.bat文件，可以通过修改txt文件后缀名实现。内容如下：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

2.在win终端：schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "c:\netstatlog.bat"windows计划创建成功，每五分钟就会监测哪些程序正在联网并记录下来。

3.以管理员身份运行netstatlog.bat文件，产生netsatlog.txt文件，即记录了监控信息。

但是不会自动监测，原因是没有设置最高权限。在任务计划程序里找到netstat进程，并在其属性里勾选使用最高权限运行

4.打开netstatlog.txt，可以看到各程序联网情况的具体信息

其中svchost.exe经常出现，百度一下

2.2 利用sysmon工具监控系统

1.Sysmon是Sysinternals工具集里面一个重要工具，最主要的功能就是可以通过自定记录规则进行系统运行的监控，语法结构与HTML一致，在老师给的配置文件的基础上改了一点点，写进C盘下20154308.txt文件，重点监视80和443端口

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">SogouExplorer.exe</Image>
</NetworkConnect>

<NetworkConnect onmatch="include">     
  <DestinationPort condition="is">80</DestinationPort>      
  <DestinationPort condition="is">443</DestinationPort>    
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>

2.Sysmon.exe -i C:\20154308.txt安装sysmon，出现如下问题