实验四 系统监测和恶意代码分析 20155104 赵文昊

实验四 系统监控与恶意代码分析

实验原理与要求

这次试验主要做系统监控,利用netstat监控网络状态,使用sysmon软件生成日志文件,都能达到监控的目的。
恶意代码分析主要根据systracer和wireshark进行行为跟踪,分析代码的功能和目的,推断出病毒的行为类型和目的。还可以依靠virustotal等网站帮助检测软件行为!

实验步骤

netstat实现网络监控

netstat是一款多平台通用的网络监控指令,在Windows下直接打开命令提示符,敲入netstat命令后就可以实现网络监控,个人感觉有点像抓包的那些软件,我觉得这个实验开一天的抓包也不是不行。。。如果可以的话-_-||
这个是命令运行后的效果。

如果感觉哪里不对劲的话,大概是目标看不大明白,这个时候使用netstat -n就可以转化为查看IP地址,是不是一目了然?

接下来修改一下我们的计划任务,可以自动收集好……长时间的网络连接动态信息。
首先创建一个文件c:\netstatlog.bat,然后在文件内写入以下信息:

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

emmmmm.......然后打开管理员模式的命令提示符(亲测Windows Powershell管理员也是可以的,右键点击开始键就可以看到了),输入命令

cmd /c netstat -bn > c:\netstatlog.txt

这样,电脑的每五分钟计划任务就会被替换为上面文件内容的任务,大概就是将时间日期和netstat命令得到的信息都添加在c:\netstatlog.txt文件里面,这样,文件里面的东西就很整齐了。看一下效果:

这个可以放在Excel文件里面统计数据!
Windows10 的电脑可以很轻松地放到控制面板->计划任务中去,还可以很自由地设置触发器规则,不用担心停不下来的问题!

直到现在都是在我的主机下面做的,完全没考虑那么多,所以我只想先把计划任务关掉!不多说了我去开我的虚拟机去了……

sysmon实现日志监控

这个软件并不是Windows的自带软件,所以命令行中不管怎么敲都是没有用滴!可以的话从Microsoft官网上下载一个(度娘搜索sysmon就可以看到!),我个人觉得用起来不是很舒服,所以最后还是选择下载了老师提供的3.10版本。
首先编写一个设置文件,用来设置sysmon监视的内容,语法与XML文件很相似,但是首次接触的人们学习起来还是有一些困难的,不得不编写比较多的次数才能做到不出错。。。做这个实验的大部分时间就是花在这里了。
就是这样!(烦死了,吐槽一下老师应该不会看见)

最终文件内容如下:

<Sysmon schemaversion="3.10">  
 <EventFiltering>  
    <DriverLoad onmatch="exclude">  
      <Signature condition="contains">Microsoft</Signature>  
      <Signature condition="contains">Windows</Signature>  
    </DriverLoad>  
    <NetworkConnect onmatch="include">  
      <DestinationPort>443</DestinationPort>  
      <DestinationPort>80</DestinationPort >  
    </NetworkConnect>  
    <FileCreateTime onmatch="exclude" >  
      <Image condition="end with">MicrosoftEdge.exe</Image>  
    </FileCreateTime>  
    <NetworkConnect onmatch="exclude">  
      <Image condition="end with">MicrosoftEdge.exe</Image>  
      <SourcePort condition="is">137</SourcePort>  
      <SourcePortName condition="is">llmnr</SourcePortName>  
      <DestinationPortName condition="is">llmnr</DestinationPortName>  
    </NetworkConnect>  
  </EventFiltering>  
</Sysmon>

这就是我花了好大劲设计出来的监视设置,这个语法掌握还需要很长时间,在过程中经常会出现“含有无法辨认的字符”以及某个标签内不能含有文本之类的错误提示,大多是不小心才会犯下的错误。
通过之后大概是这样的效果(细节,这里要用管理员权限运行,如果不用管理员权限肯定是不行的,但是在检查配置文件错误的时候并不影响):

然后去事件与日志查看器中去看一下我们抓到的日志!看看有没有什么不是很正常的地方?我的好像是没有吧……

开启我们在实验三中制作的后门,然后观察我们的日志文件,看看,观察到了一点点猫腻呢!

每次查看日志,只需要在事件与日志查看器,按照以下路径打开文件夹(Applications and Services Logs/Microsoft/Windows/Sysmon/Operational),找到最后的文件,就可以查看到sysmon监视的日至事件。

systracer进行恶意代码分析

这个环节需要用到一个软件叫做SYSTracer,在这里可以用来对比两个时间点的计算机状态发生了什么变化。
原理上就是先在正常状态下拍摄一个系统快照(跟虚拟机那个快照很像),然后再对比一下病毒开启状态下的系统快照有什么不一样的地方,控制变量法分析恶意代码。如果你的电脑本来就有病毒,辣么你就可以直接研究啦!(开个玩笑-_-||)

两个快照拍下来啦!第一个是我在正常状态下的快照,然后运行后门程序,在进程还存在的时候再拍一个快照!(为了保证这段实验的效果,推荐关掉一些比较活跃的进程,不然会干扰判断)

这是对比两个快照的详细信息,其中可以看出来我的后台还在运行着搜狗拼音输入法和Cortana(微软小娜)两个程序,还有我的后门程序加入了进程,还有很多我看不太懂的东西…………希望老师满足在下的好奇心!(老师看这里看这里\ ( ^ o ^)/~)

Wireshark抓包观察恶意代码的网络使用状况

Wireshark是一款网络分析时常用的网络监听软件,这个软件会把网卡调整到混杂模式,在这个模式下网卡会接收所有它能听到的数据包,软件就会将这些数据包统统监听下来,进行一些简单分析。
这个实验中我们还是先关掉一些网络活跃的进程,或者好好设置一下抓包规则,这样方便我们观察网络情况。我们还是观察后门程序的网络情况。

可以很舒服地看到我的受感染机(192.168.43.16)发起反弹连接,连接到控制端(Linux192.168.43.74)ARP协议内容可以看得出来哟!

这里我觉得大概就是传送命令的地方(直觉,我觉得是这里)因为这里不一样了。

实验感想

由于这个计划任务搞得有点晚(之前代码敲错了一直在覆盖原文件而不是追加在文件尾,收集的数据并不多),还没能做到数据统计,会补上这一条。
由于我们的计算机操作系统非常复杂,在查看两个快照对比的时候,还是有很多阅读困难的,不能很敏锐地观察到恶意代码的存在,如果这不是自己写的代码,或许我们还不能从sysTracer中发现病毒的踪迹,这一点看得出来我们还有很多需要学习的地方。
这次试验的实用性还是很高的,也增强了我们的保护意识和计算机防御能力,提供了除依赖杀毒软件以外的防御方式。

posted on 2018-04-12 23:49  囚月  阅读(539)  评论(2编辑  收藏