恶意软件样本行为分析——Process Monitor和Wireshark_process monitor抓包

最新推荐文章于 2024-06-04 09:43:49 发布

2401_84545016

最新推荐文章于 2024-06-04 09:43:49 发布

阅读量935

点赞数 12

分类专栏：程序员文章标签：网络安全学习面试

本文链接：https://blog.csdn.net/2401_84545016/article/details/138818777

版权

程序员专栏收录该内容

168 篇文章 2 订阅

订阅专栏

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以联系领取~

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

2️⃣视频配套工具&国内外网安书籍、文档

① 工具

② 视频

③ 书籍

资源较为敏感，未展示全面，需要的最下面获取

在这里插入图片描述

② 简历模板

在这里插入图片描述

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

使用 Wireshark 抓取登录珞珈山水 BBS 的数据包，并通过分析数据包获得用户名和密码。

第三阶段：VMware的熟悉和使用

着重掌握 VMware 的网络设置方式，主要有 NAT 连接、桥接和 Host-Only 模式。配置自己的木马分析环境。

第四阶段：灰鸽子木马的行为分析

熟悉灰鸽子木马的使用，利用灰鸽子木马控制虚拟机。

利用 Process Monitor 监控感染灰鸽子木马的被控端的文件行为和注册表行为。利用 Wireshark 监控灰鸽子木马与控制端的网络通信。

提出灰鸽子木马的清除方案。

第五阶段：思考与实践

尝试对大白鲨木马或 PCShare 木马进行行为分析。

1.4 实验关键过程、数据及其分析

1.4.1熟悉 Process Monitor的使用

首先利用 Process Monitor 监视 WinRAR 的解压缩过程。打开软件 Process Monitor，并点击 filter。在弹出的对话框中 Architecture 下拉框，选择 Process Name 填写要分析的应用程序名字，点击 Add 添加、Apply 应用。这里也可以增加其他过滤规则。

接着测试解压实验工具中的 rar 压缩包，同时检测 Process Monitor 的监控信息，可以发现成功捕获到了 WinRAR 解压缩过程。

接下来利用 Process Monitor 分析 WinRAR 的临时文件存放在哪个文件夹中。

通过查看创建文件的操作对进程过滤，可以发现 WinRAR 相关的文件开启进程操作，进而发现临时路径，右键 jump to，跳转到该路径。

可以看到 WinRAR 的解压缩临时路径是： C:\Documents and Settings\Administrator\Local Settings\Temp\Rar$DIb0.604。

WinRAR 压缩包内文件直接打开后，有两种关闭方式：先关闭打开的文件，再关闭打开的压缩包。另外一种方式是先关闭打开的压缩包，再关闭打开的文件。利用 Process Monitor 分析上述两种方式的异同点。

测试先关闭文件，再关闭压缩包，Process Monitor 检测情况如下：

测试先关闭压缩包，再关闭文件，Process Monitor 检测情况如下：

实验结果显示文件是.txt 时两种方式没有明显的区别。但是当文件是 word 类型，如果先关闭压缩包再关闭 word 文档会导致文件存储失败。

1.4.2熟悉抓包工具 Wireshark 的使用

Wireshark 是目前全球使用最广泛的开源抓包软件，其前身为 Ethereal，是一个通用的网络数据嗅探器和协议分析器。如果是网络工程师，可以通过 Wireshark 对网络进行故障定位和排错；如果安全工程师，可以通过 Wireshark

对网络黑客渗透攻击进行快速定位并找出攻击源。

首先进入 Wireshark 主界面选择以太网，点击 start 即开始抓包。

接着使用 Wireshark 抓取登录珞珈山水 BBS 的数据包，并通过分析数据包获得用户名和密码。打开武汉大学 BBS 网站，利用 Wireshark 捕获数据包，对捕获到的数据包进行过滤，看是否可以得到用户名和密码。

当输入用户名和密码，点击登录，可以看到 Wireshark 软件捕获到了很多流量信息。

然后，我们需要通过过滤器获取 HTTP 协议且与该 IP 地址相关的信息。当我们拿到一个网站，需要对其信息进行查询，包括 IP 地址、端口扫描等，这里通过站长之家获取 IP 地址，再在 Wireshark 软件中过滤与该 IP 相关的流量信息。