2019-2020-2 20175203马羽达《网络对抗技术》Exp4 恶意代码分析
2019-2020-2 20175203马羽达《网络对抗技术》Exp4 恶意代码分析
1.实践目标
1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。
1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。
2.实践内容
2.1系统运行监控
2.1.1使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。
2.1.2安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
2.2恶意软件分析
分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时,该后门软件:
①读取、添加、删除了哪些注册表项
②读取、添加、删除了哪些文件
③连接了哪些外部IP，传输了什么数据（抓包分析）
3.报告内容
3.1实验后回答问题
（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
3.2实验感想
2.实践内容
2.1.1使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。
1.在cmd中使用命令schtasks /create /TN netstat5203 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"创建计划任务netstat5203
其中：
TN：TaskName的缩写，即创建计划任务netstat5203
sc：计时方式，我们以分钟计时填MINUTE；
TR：Task Run缩写，要运行的指令是netstat
bn：b表示显示可执行文件名，n表示以数字来显示IP和端口;
>：表示输出重定向，将输出存放在c:\netstatlog.txt文件中。
2.创建netstat5203.bat脚本，先创建txt文档之后再更改文件名，否则无法打开写入。
脚本内容为：
date /t >> c:\netstat5203.txt
time /t >> c:\netstat5203.txt
netstat -bn >> c:\netstat5203.txt
3.在任务计划程序中，查看的任务netstat5203
在常规选项卡中勾选使用最高权限操作，在操作选项卡中双击编辑启动程序操作，程序或脚本选择netstat5203.bat，将条件选项卡中使用交流电源...选项取消。
一段时间后（大概打一把游戏哈哈哈哈哈），打开netstat5203.txt可见联网记录:
让我们整理一下：
让我们选中这些数据，做个图嘿嘿：
可见，使用最多的是yy语音软件，其他的还有360的常规检测等等。
2.1.2安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
1.将sysmon.exe拷贝到管理员运行cmd的文件夹中：C://Windows/System32
2.创建配置文件sysmon.xml，同样的方法，先txt，再改名，之后拷贝到管理员运行cmd的文件夹中，文件内容为：
<Sysmon schemaversion="3.10">//3.10为sysmon.exe版本，具体可在属性里查看
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature 驱动加载有以下签名的都过滤 -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<!-- 网络连接过滤以下 -->
<NetworkConnect onmatch="exclude">
<!-- 可执行程序以下列结尾的 -->
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<!-- 源端口和IP包含下列的 -->
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<NetworkConnect onmatch="include">
<!-- 目的端口和IP包含下列的 -->
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
</NetworkConnect>
<!-- 创建线程记录以下 -->
<CreateRemoteThread onmatch="include">
<!-- 目标可执行文件以下列结尾的 -->
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<!-- 源可执行文件以下列结尾的 -->
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>
3.以管理员身份运行cmd，输入指令Sysmon.exe -i sysmon.xml，会弹出安装提示框，点击Agree进行安装:
安装成功如图所示：
4.按实验二生成后门程序myd_20175203_backdoor.exe的步骤执行回连：
5.打开事件查看器，在左侧栏中选择应用程序和服务日志→Microsoft→Sysmon→Operational，找啊找，可以找到如下内容：
通过Linux获取shell，在事件查看器中查看到了该条日志，调用了cmd.exe，显然与测试的后门程序相关：
在linux获取的shell中输入dir获取主机当前文件信息，在事件查看器中可见：
都是Windows下的文件搜索引擎程序。
2.2恶意软件分析
1.静态分析：
使用实验三生成的加压缩壳后门程序myd20175203.upxed.exe，在VirusTotal进行扫描如下：
问题满满。。。
再看详情，可以看到这个文件的三个算法的摘要值，文件类型等信息，还有它的压缩壳upx
2.动态分析：
还是重复之前实验二的步骤，使用wireshark进行捕包:
在windows端回连时我们可以看到：
TCP三次握手建立连接（端口随便敲的，，，不要在意）
在终端使用ls时可见：
TCP相关的包和所传输的数据信息。
3.报告内容
3.1实验后回答问题
（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
答：
①使用sysmon工具，定期查看并统计数据，寻找可疑的程序在可疑时间段是否非法运行；
②使用wireshark工具，捕获数据包，分析数据，查找可疑端口和ip。
（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
①360安全卫士对单一程序进行扫描，并点击查看详情获取信息；
②使用wireshark进行捕包分析ip和进程活动。
3.2实验感想
除了要在每秒几乎都有更新的文件里找到一条自己后门程序的信息很让人崩溃之外，其他的都是很顺利哒，这次实验让我们学会了如何查找到恶意代码的可疑行为（终于不用像之前实验做完之后越做越后怕了哈哈哈哈哈哈），对于自己电脑的安全性能又有了进一步的认识，这几次实验下来，发现好多的都需要我们关闭防火墙和杀软，所以说，在日常使用下，防火墙和杀软是非常重要的一部分，我们不能因为有的杀软总是弹窗而卸载掉它，那无异于是因噎废食。
