木土金

  博客园  :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

 

1.实践目标

 1.1是监控你自己系统的运行状态,看有没有可疑的程序在运行。

 1.2是分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。

 1.3假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

 

2.实践内容

 2.1系统运行监控

 

一、Windows计划任务schtasks

1.为显示日期与实践,创建 netstatlog.bat文件,可以通过修改txt文件后缀名实现,文件中内容如下:

date /t >> c:\Users\admin\netstatlog.txt
time /t >> c:\Users\admin\netstatlog.txt
netstat -bn >> c:\Users\admin\netstatlog.txt

 

 

2.在命令行中输入: schtasks /create /TN netstat /sc MINUTE /MO 5 /TR "c:\Users\admin\netstatlog.bat" 创建windows计划,每五分钟就会监测哪些程序重在联网并记录下来。

 

 3.以管理员身份运行netstatlog.bat文件,生成记录了监控信息的netstatlog.txt文件。

 

 

但由于没有权限所以无法自动监测,故到 “任务计划程序”中找到“netstat”进程中勾选“使用最高权限运行”。

打开“netstatlog.txt”文件可以看到计算机中联网情况。

 记录中有几个进程不认识,上网搜索一下得知

 

 

 

导入数据到excel中进行分析

自文本中选择记录

选择数据透视表

 

在数据透视表中添加到行和值

 

最终经过排序和筛选就得出统计表

 

发现迅雷、苹果、wps一直在我后台运行,而windows的应用商店居然连接最多次也是出乎我的意料,我也找到了搜狐新闻一直弹出的后台程序。

 

二、使用sysmon工具

1.首先进入微软官网下载sysmon

 

 2.在安装的目录下创建“20164313.xml”文件,内容如下:

<Sysmon schemaversion=3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<!-- Do not log process termination -->
<ProcessTerminate onmatch="include" />
<!-- Log network connection if the destination port equal 443 -->
<!-- or 80, and process isn't InternetExplorer -->
<NetworkConnect onmatch="include">
<DestinationPort>443</DestinationPort>
<DestinationPort>80</DestinationPort>
<DestinationPort>4313</DestinationPort>
</NetworkConnect>
<NetworkConnect onmatch="exclude">
<Image condition="end with">iexplore.exe</Image>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>

 

3.输入“sysmon64.exe -i ”安装sysmon

若提示“You need to launch as an Administrator”,以管理员身份打开命令行就可以了。

 

 4.输入“sysmon64.exe -c 20164313.xml”配置sysmon

 

提示版本不同,将“20164313.xml”文件中 <Sysmon schemaversion="3.10"> 改为 <Sysmon schemaversion="4.20"> 

 

5.win10下,左下角开始菜单右击->事件查看器->应用程序和服务日志->Microsoft->Windows->Sysmon->Operational。在这里,我们可以看到按照配置文件的要求记录的新事件,以及事件ID、任务类别、详细信息等等。

 

6.

  • 打开kali,运行木马文件,使其回连kali攻击机。查看日志,通过搜索关键字可以找到相关的后门文件:

 

打开详细信息,可以看到这个后门映像文件的具体位置、源IP和端口、目的IP和端口等。

 2.2恶意软件分析

Systracer

抓以下四种状态的包:

snapshot#1.不做任何操作,系统自然状态

snapshot#2.启动后门回连

snapshot#3.安装后门到目标主机

snapshot#4.kali提权

 

关注以下三个问题:

      1.读取、添加、删除了哪些注册表项?

       2.读取、添加、删除了哪些文件?

3.连接了哪些外部IP,传输了什么数据?

       

  点击比较snapshot#1和snapshot#2

 

选择注册表项,选择仅差异,就可以看到变化的注册表项:

 

选择文件,浏览变化文件:

 

 

 

选择应用,打开端口,就可以看到ip连接情况

 

因为快照的时候打开其他软件,所以会有很多干扰项,需要自己仔细分析。

 

同上比较snapshot#1和snapshot#3

注册表一大堆。。。。看得脑壳疼

 

文件中可以看到后门程序被传至靶机中

 

可以看到ncat使用4313端口

 

同上比较snapshot#1和snapshot#4

注册表中可以看到系统的shell被修改了

 

文件中,shiyan4.exe再此被修改。

 

应用程序选项中,可以看到后门程序的操作

 

 端口选项中可以看到后门程序通过2043端口与靶机通信

 

 

3.报告内容

  3.1实验后回答问题

(1)如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

答:利用sysmon工具,配置好想要监控的端口、注册表信息、网络连接等信息,通过其生成的日志文件进行查看。

利用wireshark查看数据包。

利用sysmon进行快照,对比注册表、文件等信息。

(2)如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。

答:wireshark、systracer、process explorer等。

 3.2实验总结与体会

 这次实验难点在于分析捕获的连接和数据包,从海量的数据和文件中找到恶意文件不是一件简单的事,让我发现了自己的不足,也有所收获。

posted on 2019-04-04 15:52  木土金  阅读(215)  评论(0编辑  收藏