20154301 Exp4 惡意代碼分析

20154301 仉鑫燁

---

一、 實踐內容

系統運行監控

• （1）使用如計劃任務，每隔一分鐘記錄自己的電腦有哪些程序在聯網，連接的外部IP是哪里。運行一段時間并分析該文件，綜述一下分析結果。目標就是找出所有連網的程序，連了哪里，大約干了什么(不抓包的情況下只能猜)，你覺得它這么干合適不。如果想進一步分析的，可以有針對性的抓包。
• （2）安裝配置sysinternals里的sysmon工具，設置合理的配置文件，監控自己主機的重點事可疑行為。

惡意軟件分析：分析該軟件在

• （1）啟動回連時
• （2）安裝到目標機時
  

• （3）其他任意操作時（如進程遷移或抓屏，重要是你感興趣）。該后門軟件

  讀取、添加、刪除了哪些注冊表項？

  讀取、添加、刪除了哪些文件？

  連接了哪些外部IP，傳輸了什么數據（抓包分析）？

---

二、 基礎問題

如果在工作中懷疑一臺主機上有惡意代碼，但只是猜想，所有想監控下系統一天天的到底在干些什么。請設計下你想監控的操作有哪些，用什么方法來監控。

答：重啟計算機，并對計算機的注冊表，進程，端口，服務等內容進行檢測，并使用抓包軟件進行抓包，通過觀察注冊表，進程等內容的變化篩選出可疑的對象，然后針對可疑的對象在抓包過程中具體分析，看看有沒有可以的建立套接字（也就是連接其他IP地址）的可疑操作，觀察可以對象的流量是否異常，對數據包類型解析看看是否有可疑的內容。||| 方法：①注冊表信息的增添修改刪除。②用來進行網絡連接的IP地址端口號。③程序的一系列行為。④可以使用wireshark抓包分析，分析網絡連接狀態；查看軟件注冊表信息；使用SysTracer等軟件查看一段時間內系統注冊表信息文件標化情況，將這些信息錄入excel分析。。

如果已經確定是某個程序或進程有問題，你有什么工具可以進一步得到它的哪些信息。

答：①使用systracer工具，動態分析注冊表修改情況，分析原因，這樣做的目的，查看文件修改情況和端口情況并分析原因。②使用Wireshark進行抓包分析，查看該程序傳輸了哪些數據。

---

三、實驗過程

系統運行監控

1. Windows計劃任務schtasks

• 為實現每5min記錄下有哪些程序在連接網絡，輸入以下命令：
  schtasks /create /TN 20154301netstat /sc MINUTE /MO 2 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

• 釋義：TN是TaskName的縮寫，我們創建的計劃任務名是20154301netstat；sc表示計時方式，我們以分鐘計時填MINUTE；TR=Task Run，要運行的指令是 netstat -bn,b表示顯示可執行文件名，n表示以數字來顯示IP和端口,MO 表示隔兩分鐘進行一次。
  

• 此命令完成后，每五分鐘就會監測哪些程序在使用網絡，并把結果記錄在netstatlog.txt文檔里，但是不顯示記錄的時間和日期，這可能不便于我們判斷，要是想顯示日期和時間，我們可以通過bat批處理文件來實現。
  

  在C盤要目錄下建一個文件c:\netstatlog.bat（先把后綴設為txt，保存好內容后把后綴改為bat）

  date /t >> c:\netstat4301.txt

  time /t >> c:\netstat4301.txt

  netstat -bn >> c:\netstat4301.txt

• 打開控制面板->任務計劃程序，找到我們的任務20154301netstat
  

• 雙擊點開，找到操作，點擊所有項里的屬性選項：
  

• 可以對任務進行修改：找到操作選項卡，選擇netstatlog.bat腳本。
  

• 修改成功后，顯示：
  

• 問題：無法定時記錄數據，需要打開最高權限。
  

• 可以看到記錄文件netstatlog.txt中的記錄有了時間：
  

• 接下來我們要做的就是等待，等記錄項目夠多了再進行分析。

• 這里我選擇用excel進行分析：

• 打開Excel點擊數據選項卡，在獲取外部數據的方式上選擇 來自文本，選擇我們之前記錄連接情況的文本netstatlog.txt：
  

• 選擇分隔符號：
  

• 分隔符號全部選上：
  

• 列數據格式選擇常規：
  

• 點擊完成，在excel中格式見下圖
  

• 首先去掉重復值：
  

• 最終刪除1872個重復值，確定19項內容：
  

• 分析其用途

進程應用用途

[vmware-hostd.exe]	虛擬機	實驗
[vmware-authd.exe]	虛擬機	實驗
[vmware.exe]	虛擬機	實驗
[YoudaoNote.exe]	有道云筆記	實驗
[WeChat.exe]	微信	嘮嗑
[360tray.exe]	360安全衛士實時監控程序	安全軟件
[360Game.exe]	360游戲大廳	==???他咋老彈出來==
[WINWORD.EXE]	微軟Microsoft Word的主程序	實驗存圖
[EXCEL.EXE]	微軟Microsoft Excel的主程序	實驗數據分析
DiagTrack	系統負責數據收集和錯誤信息
[svchost.exe]	微軟Windows操作系統的系統程序
[360se.exe]	從動態鏈接庫 (DLL) 中運行的服務
[SGTool.exe]	搜狗輸入法的加速啟動程序	打字
[360mobilesrv.exe]	360手機助手	==360太流氓了自動上傳數據==
CryptSvc	系統認證服務	微軟公鑰體系PKI

• 總而言之我的電腦還是很安全的，但是360的流氓行為（自動后臺打開360手機助手并偷跑流量）確實通過這次實驗引起了我的注意。

2. Sysmon

• 明確監控目標

  —— 網絡連接、驅動加載、遠程線程創建、進程創建、訪問和結束等

• sysmon微軟Sysinternals套件中的一個工具，可以從碼云項目的附件里進行下載，要使用sysmon工具先要配置文件，一開始我直接用的是老師給的配置文件,創建配置文件20154301.txt（注：一定要以管理員身份運行）：

<Sysmon schemaversion="3.10"><!-- Capture all hashes --><HashAlgorithms>*</HashAlgorithms><EventFiltering> <!-- Log all drivers except if the signature --> <!-- contains Microsoft or Windows --> <DriverLoad onmatch="exclude"><Signature condition="contains">microsoft</Signature><Signature condition="contains">windows</Signature> </DriverLoad><NetworkConnect onmatch="exclude"><Image condition="end with">chrome.exe</Image><Image condition="end with">iexplorer.exe</Image><SourcePort condition="is">137</SourcePort> </NetworkConnect><CreateRemoteThread onmatch="include"><TargetImage condition="end with">explorer.exe</TargetImage><TargetImage condition="end with">svchost.exe</TargetImage><TargetImage condition="end with">winlogon.exe</TargetImage><SourceImage condition="end with">powershell.exe</SourceImage> </CreateRemoteThread></EventFiltering> </Sysmon>

• 配置好文件之后，要先使用Sysmon.exe -i C:\Sysmoncfg.txt指令對sysmon進行安裝：
  

• 啟動之后，便可以到事件查看器里查看相應的日志，在"運行"窗口輸入eventvwr命令（我是直接輸的，這個命令在哪個目錄輸都可以的），打開應用程序和服務日志，根據Microsoft->Windows->Sysmon->Operational路徑找到記錄文件：
  

• 我查看了其中一部分事件的詳細信息，比如這個事件是之前做計劃任務時所創建的：
  

• 例如下面的事件是360安全瀏覽器對文件的創建時間進行了更改，應該也就是更新：
  
  

• 將后門程序放入windows主機，在Kali下進行回連操作：
  

• 木馬很可能偽裝成電腦自帶的explorer.exe進程
  

• 之后，我對Sysmoncfg.txt配置文件進行了修改，重點是監視80和443以及4301端口的聯網情況
  

<Sysmon schemaversion="3.10"><!-- Capture all hashes --><HashAlgorithms>*</HashAlgorithms><EventFiltering> <!-- Log all drivers except if the signature --> <!-- contains Microsoft or Windows --> <DriverLoad onmatch="exclude"><Signature condition="contains">microsoft</Signature><Signature condition="contains">windows</Signature> </DriverLoad><NetworkConnect onmatch="exclude"><Image condition="end with">SogouExplorer.exe</Image> </NetworkConnect><NetworkConnect onmatch="include"> <DestinationPort condition="is">80</DestinationPort> <DestinationPort condition="is">443</DestinationPort><DestinationPort condition="is">4301</DestinationPort> </NetworkConnect><CreateRemoteThread onmatch="include"><TargetImage condition="end with">explorer.exe</TargetImage><TargetImage condition="end with">svchost.exe</TargetImage><TargetImage condition="end with">winlogon.exe</TargetImage><SourceImage condition="end with">powershell.exe</SourceImage> </CreateRemoteThread></EventFiltering> </Sysmon>

• 4301端口
  

• 443端口（忘了截圖了）

3. virscan

• 不知什么原因virscan出現一些問題無法像上屆同學一樣使用，故我最終選擇使用virustotal。
  

• 查看細節信息（我盡力想把它看懂，但是我沒有）
  

4. systracer

• 點擊take snapshot來快照，四個快照：1.將惡意軟件植入到目標主機中后；2.惡意軟件啟動回連時；3.惡意軟件執行dir命令進行查看時；4.惡意軟件進行截屏操作時。
  

• 比較1、2，我們可以看到很多信息，包括IP及端口
  
  

• 惡意軟件執行dir命令時無特殊信息，但在進行截屏操作時注冊表信息有了修改：
  

5. 聯網情況分析

在后門程序回連時，在主機的命令行中用netstat -n命令查看TCP連接的情況，可以發現其中有進行回連的后門程序：

• 回連時建立tcp連接
  

• 在后門程序回連時，打開wireshark，進行捕包分析，查看詳細的協議分析發現，后門程序建立了三次握手并回連時進行了基于IP和端口的連接
  

6. Process Monitor

• 打開Process Monitor就可以就看到按時間排序的winxp執行的程序的變化，運行一下后門程序4301.exe，再刷新一下Process Monitor的界面，可以指定查找到程序。
  

7. PEiD

• PEiD是一個常用的的查殼工具，可以分析后門程序是否加了殼。

• 加殼
  

• 不加殼
  

8. Process Explorer

• 打開Process Explorer，運行后門程序4301.exe，在Process欄可以找到4301.exe
  

• 雙擊后門程序4301.exe一行，點擊不同的頁標簽可以查看不同的信息：

• TCP/IP頁簽有程序的連接方式、回連IP、端口等信息。
  
  

• Performance頁簽有程序的CPU、I/O、Handles等相關信息。
  

---

四、實驗體會

• 本次實驗極為繁瑣，由于對各種軟件的不熟悉，消耗了很多時間，學長學姐們的報告給了我很多幫助。在實驗中，我掌握了各類分析惡意軟件的方法，也發現了自己電腦中平時沒有關注到的流氓軟件，十分受益。另外在本次實驗的學習過程中，我對惡意軟件的特征認識也有了很大的提升，比如篩選可以對象，查看是否含有建立套接字的可以操作等等。總之本次實驗雖然麻煩，但收獲良多。

轉載于:https://www.cnblogs.com/z20154301/p/8807752.html

總結

以上是生活随笔為你收集整理的Exp4 恶意代码分析 20154301仉鑫烨的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。