病毒木马防御与分析
病毒木馬防御與分析
病毒包和工具包下載:Github
- 一.前言
- 二.建立對手動查殺病毒技術(shù)的正確認(rèn)識
- 1.病毒分析方法
- 2.病毒查殺步驟
- 3.必備知識
* 1) 熟悉windows系統(tǒng)進(jìn)程
* 2) 熟悉常見端口與進(jìn)程對應(yīng)關(guān)系
* 3) 熟悉windows自帶系統(tǒng)服務(wù)
* 4) 熟悉注冊表啟動項(xiàng)位置
- 三.詳解Windows隨機(jī)啟動項(xiàng)目——注冊表
- 四.詳解Windows隨機(jī)啟動項(xiàng)目——系統(tǒng)服務(wù)
- 五.手動查殺病毒實(shí)戰(zhàn)——熊貓燒香病毒
- 0. 病毒分析
* 1).中毒癥狀
* 2).病毒特征
* 3).發(fā)作癥狀 - 1. 查內(nèi)存，排查可疑進(jìn)程，將病毒從內(nèi)存中干掉
- 2. 查啟動項(xiàng)，刪除病毒啟動項(xiàng)
- 3. 通過啟動項(xiàng)判斷病毒所在位置，并從根本上刪除病毒
- 4. 修復(fù)系統(tǒng)
- 0. 病毒分析
一.前言
《病毒木馬防御與分析》系列以真實(shí)的病毒木馬（或惡意程序）為研究對象，通過現(xiàn)有的技術(shù)手段對其分析，總結(jié)出它的惡意行為，進(jìn)而制定出相應(yīng)的應(yīng)對方法，對其徹底查殺。當(dāng)然，因?yàn)槲覀€人水平的有限，查殺分析的病毒可能不是過于高端復(fù)雜，但對你認(rèn)識病毒工作原理還是會很有幫助的，甚至最后你也可以利用c語言實(shí)現(xiàn)一個簡單的病毒程序。
二.建立對手動查殺病毒技術(shù)的正確認(rèn)識
1.病毒分析方法
一般來說，除非是感染型病毒，否則是不需要對病毒進(jìn)行逆向分析的，只需要對病毒進(jìn)行行為分析就可以編寫專殺工具。而如果是感染型病毒，由于需要修復(fù)被病毒感染的文件，那么就不能僅僅簡單地分析病毒的行為，而必須對病毒進(jìn)行逆向分析，從而修復(fù)被病毒所感染的文件。因此，實(shí)際中的分析方法有以下兩種：
行為分析。惡意程序?yàn)榱诉_(dá)到目的，都有自己的一些特殊的行為，這些特殊的行為是正常的應(yīng)用程序所沒有的。比如把自己復(fù)制到系統(tǒng)目錄下，或把自己添加進(jìn)啟動項(xiàng)，或把自己的某個DLL文件注入到其它進(jìn)程中去。
逆向分析。當(dāng)惡意程序感染了可執(zhí)行文件之后，所感染的內(nèi)容是無法通過行為監(jiān)控工具發(fā)現(xiàn)的。而病毒對可執(zhí)行文件的感染，有可能是通過PE文件結(jié)構(gòu)中的節(jié)與節(jié)之間的縫隙來存放病毒代碼，也可能是添加一個新節(jié)來存放病毒代碼。無論是哪種方式，都需要通過逆向的手段進(jìn)行分析。
2.病毒查殺步驟
查內(nèi)存，排查可疑進(jìn)程，將病毒從內(nèi)存中干掉
查啟動項(xiàng)，刪除病毒啟動項(xiàng)
通過啟動項(xiàng)判斷病毒所在位置，并從根本上刪除病毒
修復(fù)系統(tǒng)
3.必備知識
1) 熟悉windows系統(tǒng)進(jìn)程
2) 熟悉常見端口與進(jìn)程對應(yīng)關(guān)系
3) 熟悉windows自帶系統(tǒng)服務(wù)
- 系統(tǒng)隨機(jī)啟勱服務(wù)查看：msconfig/services.msc
- SvcHost.exe宿主進(jìn)程對應(yīng)的多項(xiàng)服務(wù)
- windows隱藏服務(wù)管理工具：SDCT
4) 熟悉注冊表啟動項(xiàng)位置
隨機(jī)啟動項(xiàng)目在注冊表中的位置
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
三.詳解Windows隨機(jī)啟動項(xiàng)目——注冊表
注冊表是Windows中的一個重要的數(shù)據(jù)庫，用于存儲系統(tǒng)和應(yīng)用程序的設(shè)置信息。早在很多年前的Windows系統(tǒng)中注冊表就已經(jīng)出現(xiàn)。隨后推出的Windows NT是第一個從系統(tǒng)級別廣泛使用注冊表的操作系統(tǒng)。但是，從Microsoft Windows 95操作系統(tǒng)開始，注冊表才真正成為Windows用戶經(jīng)常接觸的內(nèi)容，并在其后的操作系統(tǒng)中繼續(xù)沿用至今。
注冊表是一個重要的數(shù)據(jù)庫，里面存儲的是本系統(tǒng)中的所有配置，如開機(jī)啟動項(xiàng)，桌面背景，右鍵菜單，圖標(biāo)，系統(tǒng)更新，系統(tǒng)中一些按鍵的響應(yīng)，甚至還有系統(tǒng)管理員的信息。所以修改注冊表是一個病毒可以控制影響我們系統(tǒng)一個很直接的方式。比如在c語言中就提供了可以直接操作Windows注冊表的接口函數(shù)。
// 打開注冊表 LONG WINAPI RegCreateKey( _In_ HKEY hKey, _In_opt_ LPCTSTR lpSubKey, _Out_ PHKEY phkResult ); // 讀寫注冊表 LONG RegSetValueEx(HKEY hKey,LPCTSTR lpValueName,DWORD Reserved,DWORD dwType,CONST BYTE *lpData,DWORD cbData );此處在病毒編程實(shí)戰(zhàn)中再做詳細(xì)闡述
開機(jī)自啟動的實(shí)現(xiàn)方法就是通過注冊表實(shí)現(xiàn)，在注冊表中有固定的開機(jī)自啟程序設(shè)置位置。
在命令提示符中輸入regedit打開注冊表看看能不能在下面五個開機(jī)自啟項(xiàng)中找到你本機(jī)的開機(jī)自啟軟件吧！
一個軟件出現(xiàn)在五個啟動項(xiàng)一個中即可
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run; HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce; HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run; HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce; HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx四.詳解Windows隨機(jī)啟動項(xiàng)目——系統(tǒng)服務(wù)
一個病毒往往會以系統(tǒng)服務(wù)的形式存在，也就是說他的圖標(biāo)不會出現(xiàn)在你的桌面任務(wù)欄，不會像在我們初學(xué)編程時程序運(yùn)行時的一個小黑框展現(xiàn)給用戶。
系統(tǒng)服務(wù)是指執(zhí)行指定系統(tǒng)功能的程序、例程或進(jìn)程，以便支持其他程序，尤其是底層程序。通過網(wǎng)絡(luò)提供服務(wù)時，服務(wù)可以在Active Directory（活動目錄）中發(fā)布，從而促進(jìn)了以服務(wù)為中心的管理和使用。
在運(yùn)行中輸入msconfig打開系統(tǒng)配置
在這里我們可以看到有服務(wù)和啟動，啟動中即是之前我們所說在注冊表中的開機(jī)自啟動項(xiàng)了，不過很多病毒都有在系統(tǒng)配置啟動中隱藏自己的功能，所以我們還是要會在注冊表中查找。
我們選擇隱藏所以Microsoft服務(wù)便可看服務(wù)列表大量服務(wù)被隱藏，只剩下非Microsoft服務(wù)，在這些中就可以查找異常服務(wù)進(jìn)行查殺了。
除了這種查看服務(wù)的方式，我們還有一種更加詳細(xì)的方法，通過services.msc查看。
在運(yùn)行中輸入services.msc打開服務(wù)。
在這里我們可以看到大量的系統(tǒng)服務(wù)，比如有WLAN服務(wù)(連不上WIFI可以考慮重新啟動這個服務(wù))，Windows更新服務(wù)(可以考慮禁用)。通過查看描述，我們就可以發(fā)現(xiàn)一些異常的服務(wù)了，比如灰鴿子遠(yuǎn)控，在其服務(wù)描述中很明顯的寫出了是灰鴿子。
在Windows下病毒也可以對自身服務(wù)進(jìn)行隱藏，這類病毒就需要一些第三方工具了，利用SDCT工具可以查看到本機(jī)所有服務(wù)的信息，包括隱藏與未隱藏，啟動與未啟動。
SDCT工具還有之后的工具都可以在我的Github倉庫中找到
此外，病毒進(jìn)程可能利用svcHost.exe宿主進(jìn)程，此時在Windows任務(wù)管理器中病毒進(jìn)程顯示的就是svcHost.exe名稱了，這種情況下我們需要利用一條命令來查看SvcHost.exe下有哪些進(jìn)程。
命令: tasklist /svc
可以看到svchost.exe會存在多個進(jìn)程，而每個進(jìn)程下還有多個依賴于此進(jìn)程的服務(wù)。
五.手動查殺病毒實(shí)戰(zhàn)——熊貓燒香病毒
如果像自己實(shí)踐記得在虛擬機(jī)下！
病毒包可以在Github倉庫找到
0. 病毒分析
病毒名稱: 武漢男生，又名熊貓燒香病毒。"Worm.WhBoy.h"
1).中毒癥狀
拷貝自身到所有驅(qū)動器根目錄，命名為Setup.exe，并生成一個autorun.inf使得用戶打開該盤運(yùn)行病毒，并將這兩個文件屬性設(shè)置為隱藏、只讀、系統(tǒng)。
無法手工修改“文件夾選項(xiàng)”將隱藏文件顯示出來。
在每個感染后的文件夾中可見Desktop_ini的隱藏文件，內(nèi)容為感染日期 如：2007-4-1
電腦上的所有腳本文件中加入一段代碼：
中毒后的機(jī)器上常見的反病毒軟件及防火墻無法正常開啟及運(yùn)行。
不能正常使用任務(wù)管理器及注冊表。
無故的向外發(fā)包，連接局域網(wǎng)中其他機(jī)器。
感染其他應(yīng)用程序的.exe文件，并改變圖標(biāo)顏色，但不會感染微軟操作系統(tǒng)自身的文件。
刪除GHOST文件(.gho后綴)，網(wǎng)吧、學(xué)校和單位機(jī)房深受其害。
禁用常見殺毒工具。
2).病毒特征
關(guān)閉眾多殺毒軟件和安全工具。
循環(huán)遍歷磁盤目錄，感染文件，對關(guān)鍵系統(tǒng)文件跳過。
感染所有EXE、SCR、PIF、COM文件,并更改圖標(biāo)為燒香熊貓。
感染所有.htm/.html/.asp/.php/.jsp/.aspx文件，添加木馬惡意代碼。
自動刪除*.gho文件。
3).發(fā)作癥狀
病毒運(yùn)行后,會把自己拷貝到C:\WINDOWS\System32\Drivers\spoclsv.exe
病毒會添加自啟動項(xiàng)HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe
- 每隔1秒尋找桌面窗口,并關(guān)閉窗口標(biāo)題中含有以下字符的程序
QQKav,QQAV,防火墻,進(jìn)程,VirusScan,網(wǎng)鏢,殺毒,毒霸,瑞星,江民,黃山IE,超級兔子,優(yōu)化大師,木馬克星,木馬清道夫,QQ病毒,注冊表編輯器,系統(tǒng)配置實(shí)用程序,卡巴斯基反病毒,Symantec AntiVirus,Duba,esteem proces,綠鷹PC,密碼防盜,噬菌體,木馬輔助查找器,System Safety Monitor,Wrapped gift Killer,Winsock Expert,游戲木馬檢測大師,msctls_statusbar32,pjf(ustc),IceSword
并使用的鍵盤映射的方法關(guān)閉安全軟件IceSword
并中止系統(tǒng)中以下的進(jìn)程:
Mcshield.exe VsTskMgr.exe naPrdMgr.exe UpdaterUI.exe TBMon.exe scan32.exe Ravmond.exe CCenter.exe RavTask.exe Rav.exe Ravmon.exe RavmonD.exe RavStub.exe KVXP.kxp kvMonXP.kxp KVCenter.kxp KVSrvXP.exe KRegEx.exe UIHost.exe TrojDie.kxp FrogAgent.exe Logo1_.exe Logo_1.exe Rundl132.exe- 每隔18秒
點(diǎn)擊病毒作者指定的網(wǎng)頁,并用命令行檢查系統(tǒng)中是否存在共享，存在的話就運(yùn)行net share命令關(guān)閉admin$共享。
- 每隔10秒
下載病毒作者指定的文件,并用命令行檢查系統(tǒng)中是否存在共享共存在的話就運(yùn)行net share命令關(guān)閉admin$共享。
- 每隔6秒
刪除安全軟件在注冊表中的鍵值。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run RavTask KvMonXP kav KAVPersonal50 McAfeeUpdaterUI Network Associates Error Reporting Service ShStartEXE YLive.exe yassistse并修改以下值不顯示隱藏文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue修改為 0x00刪除以下服務(wù)
navapsvc wscsvc KPfwSvc SNDSrvc ccProxy ccEvtMgr ccSetMgr SPBBCSvc Symantec Core LC NPFMntor MskService FireSvc- 感染文件
病毒會感染擴(kuò)展名為exe,pif,com,src的文件,把自己附加到文件的頭部并在擴(kuò)展名為htm,html, asp,php,jsp,aspx的文件中添加一網(wǎng)址,用戶一旦打開了該文件,IE就會不斷的在后臺點(diǎn)擊寫入的網(wǎng)址,達(dá)到增加點(diǎn)擊量的目的,但病毒不會感染以下文件夾名中的文件,防止系統(tǒng)崩潰。
WINDOW Winnt System Volume Information Recycled Windows NT WindowsUpdate Windows Media Player Outlook Express Internet Explorer NetMeeting Common Files ComPlus Applications Messenger InstallShield Installation Information MSN Microsoft Frontpage Movie Maker MSN Gamin Zone1. 查內(nèi)存，排查可疑進(jìn)程，將病毒從內(nèi)存中干掉
在虛擬機(jī)中運(yùn)行熊貓燒香病毒，記得要在xp虛擬機(jī)啊，物理機(jī)現(xiàn)在Windows補(bǔ)丁已經(jīng)免疫熊貓燒香了。
在虛擬機(jī)中我們打開任務(wù)管理器，發(fā)現(xiàn)剛一打開就會被關(guān)閉，這是熊貓燒香的特征之一。
右鍵一個分區(qū)，你會發(fā)現(xiàn)第一項(xiàng)不是打開，而是Auto，這是因?yàn)樾茇垷悴《緯诜謪^(qū)產(chǎn)生一個autorun.inf文件使得用戶打開該盤運(yùn)行病毒，autorun.inf文件是系統(tǒng),隱藏文件。
甚至一些病毒會把Auto起名為打開，右鍵分區(qū)你會發(fā)現(xiàn)兩個打卡選項(xiàng)。
我們第一步就要先關(guān)閉病毒進(jìn)程，排查內(nèi)存時我們需要使用tasklist命令查看可疑進(jìn)程，spoclsv.exe就是熊貓燒香的進(jìn)程名了(這個可能需要大量的積累，最好是對Windows系統(tǒng)進(jìn)程有大量了解)。
找到后通過taskkill /f /im PID命令將其終止
有些病毒無論任務(wù)管理器還是taskkill命令都無法將其終止，這類病毒大多是有三個進(jìn)程相互保護(hù)，有一個被終止后其他進(jìn)程會立即再次啟動這個進(jìn)程。
2. 查啟動項(xiàng)，刪除病毒啟動項(xiàng)
將病毒從內(nèi)存中清除之后，接下來我們要刪除其服務(wù)和啟動項(xiàng)。
在禁用刪除掉啟動項(xiàng)之前，我們需要先記住這個病毒的路徑，以便第三步去刪除它的主體。
3. 通過啟動項(xiàng)判斷病毒所在位置，并從根本上刪除病毒
下圖就是熊貓燒香病毒本體的位置了，其實(shí)但看啟動項(xiàng)中exe路徑就能發(fā)現(xiàn)spoclsv服務(wù)的可疑了，它位于system32\drivers下，也不是一些常見的系統(tǒng)服務(wù)。
到這個路徑下刪除這個exe程序。
4. 修復(fù)系統(tǒng)
刪除完exe之后我們重啟系統(tǒng)，會發(fā)現(xiàn)現(xiàn)在系統(tǒng)中沒有spoclsv.exe這個進(jìn)程了。
這時病毒還有可能會復(fù)發(fā)，因?yàn)橄到y(tǒng)還未完成修復(fù)，之前說的分區(qū)雙擊默認(rèn)選項(xiàng)可能會導(dǎo)致病毒程序再次運(yùn)行。
我們需要將Auto選項(xiàng)刪除，并且清理系統(tǒng)。
autorun.inf就是關(guān)聯(lián)我們右鍵菜單的文件了。
我們通過attrib -s -h -a -r autorun.inf來分別將autorun.inf和setup.exe隱藏屬性刪除并且刪除這兩個文件。
刪除之后我們雙擊分區(qū)打開會發(fā)現(xiàn)無法生效。
注銷系統(tǒng)后，右鍵菜單恢復(fù)。
posted @ 2019-01-15 18:07 AntzUhl 閱讀(...) 評論(...) 編輯 收藏總結(jié)
- 上一篇： vijos1697——平面几何
- 下一篇： 超标量处理器