bonelee - 博客园

2022年10月4日

恶意代码分析实战 windbg恶意软件分析 lab 10-3 通过rootkit隐藏恶意进程这玩意要玩得很6的话还是要对windows内核编程非常熟才行

摘要：问题 1.这个程序做了些什么？ sys里面反编译看到的：从静态分析初步看，应该是sys rootkit方式注册的服务来运行恶意代码，sys里会删除什么东西。解答：书上说本次实验包括一个驱动程序和一个可执行文件，还要把驱动程序放到C:\Windows\System32目录下面，我们试试实际运行，阅读全文

posted @ 2022-10-04 22:47 bonelee 阅读(310) 评论(0) 推荐(0)

恶意代码分析实战 windbg内核恶意代码分析 lab 10-1 10-2（通过rootkit隐藏文件）有时windbg会卡死一直busy GG EDR检测rootkit暂无思路

摘要： Lab 10-01 本实验包括一个驱动程序和一个可执行文件。你可以从任意位置运行可执行文件，但为了使程序能够正常运行，必须将驱动程序放到C:\Windows\System32目录下，这个目录在受害者计算机中已经存在。可执行文件是Lab10-01.exe,驱动程序是Lab 10-01.sys. 问题阅读全文

posted @ 2022-10-04 15:11 bonelee 阅读(889) 评论(1) 推荐(0)

2022年10月3日

恶意代码分析实战 ollydbg使用来了 Lab 9-1 9-2 9-3

摘要： Lab9-1：使用IDA Pro和OllyDbg分析恶意文件Lab9-1.exe，回答以下问题。如何让这个恶意代码安装自身? 这个恶意代码的命令行选项是什么?它要求的密码是什么? 如何利用OllyDbg永久修补这个恶意代码，使其不需要指定的命令行密码? 这个恶意代码基于系统的特征是什么？这个恶意阅读全文

posted @ 2022-10-03 20:42 bonelee 阅读(1194) 评论(0) 推荐(0)

2022年10月2日

恶意代码分析实战 IDA分析 lab 7-3 一个通过感染主机exe 修改kernel.dll为恶意dll的后门程序要做清理的话是很难的！

摘要： winxp运行该后门后： win7下：运行前：运行后还是一样，即便是用cmd管理员运行。看来该病毒只是适合在xp下运行。 Lab 7-3 静态分析strings + IDA pro 分析EXE 分析DLL 1.这个程序如何完成持久化驻留，来确保在计算机被重启后它能继续运行？ 2.这个恶意代码的两阅读全文

posted @ 2022-10-02 23:43 bonelee 阅读(335) 评论(0) 推荐(0)

恶意代码分析实战 IDA 分析windows恶意程序 lab 7-1 7-2

摘要：恶意代码分析实战第七章实验部分第7章分析恶意Windows程序（实验） Lab 7-1：分析在文件Lab07-01.exe中发现的恶意代码 1.1 当计算机重启后，这个程序如何确保它继续运行（达到持久化驻留）？ 1.2 为什么这个程序会使用一个互斥量？ 1.3 可以用来检测这个程序的基于主机阅读全文

posted @ 2022-10-02 23:38 bonelee 阅读(715) 评论(0) 推荐(0)

恶意代码分析实战 IDA lab 6 c2程序分析很有用！

摘要：第6章识别汇编中的C代码结构（实验） Lab 6-1：在这个实验中，你将分析在文件Lab06-01.exe中发现的恶意代码 1.1 由main函数调用的唯一子过程中发现的主要代码结构是什么？ 1.2 位于0x40105F的子过程是什么？ 1.3 这个程序的目的是什么？ Lab 6-2：分析在文件L 阅读全文

posted @ 2022-10-02 20:49 bonelee 阅读(391) 评论(0) 推荐(0)

从IDA实战看函数参数和局部变量在栈里分布的差异

摘要：问题：IDA Pro识别了在0x10001656处的子过程（函数）中的多少个局部变量？当前版本的IDA，识别的是一个参数lpThreadParameter，以及62个参数局部参数通常以var_开头，偏移值为负值，看红色部分；参数的偏移为正，看蓝色部分。看恶意代码分袖实战里的截图：阅读全文

posted @ 2022-10-02 17:00 bonelee 阅读(353) 评论(0) 推荐(0)

IDA使用恶意代码分析实战 Lab 05 01

摘要：恶意代码分析实战Lab0501 1.DllMain的地址是什么? 2.使用Imports窗口并浏览到gethostbyname,导入函数定位到什么地址? 3.有多少函数调用了gethostbyname? 4.将精力集中在位于0x1000757处的对gethostbyname的调用,你能找出哪个DNS 阅读全文

posted @ 2022-10-02 14:59 bonelee 阅读(541) 评论(0) 推荐(0)

2022年10月1日

恶意代码分析动态行为分析 Lab3-1 Lab3-2 Lab3-3 Lab3-4

摘要：笔记动态分析基础，这部分还没涉及到看反汇编进行分析，主要是运行程序，然后通过监控软件检测程序运行的内容使用沙箱查看运行报告，可以获取一部分信息首先要在虚拟机上运行恶意代码：如果是DLL，可以通过rundll32.exe DLLName, ExportFun来进行执行如果是服务DLL，则需要阅读全文

posted @ 2022-10-01 18:38 bonelee 阅读(954) 评论(0) 推荐(0)

INetSim模拟C2 这玩意比起nc来说更专业！

摘要： INetSim INetSim是一个非常方便和强大的实用程序，允许你在一台机器上模拟一堆标准的Internet服务。默认情况下，它将模拟可以轻松调整的DNS，HTTP和SMTP。由于我们后续会将受害者机器配置为无Internet访问，因此我们需要使用INetSim进行模拟。一安装从网上的反馈看阅读全文

posted @ 2022-10-01 18:03 bonelee 阅读(416) 评论(0) 推荐(0)

将者，智、信、仁、勇、严也。

Hi，我是李智华，华为-安全AI算法专家，欢迎来到安全攻防对抗的有趣世界。

公告