恶意代码分析 Lab5

最新推荐文章于 2022-10-19 23:51:03 发布
最新推荐文章于 2022-10-19 23:51:03 发布
阅读量1.7k 收藏 1
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/baidu_41108490/article/details/80323492
版权
本文详细介绍了如何使用IDAPro进行恶意代码分析，包括定位函数、查看调用关系、解析字符串、查找关键行为，如远程shell、注册表操作、进程信息发送等，揭示了恶意代码的工作原理。
摘要由CSDN通过智能技术生成

这一节完全是IDA的使用介绍

1直接用IDAPro打开.dll文件,就直接来到Dllmain处,可以知道地址为0x1000D02E

2 3要知道gethostbyname在WS2_32.dll就比较容易找到,而且注意是区分大小写的.这是小写,找到后双击到达输出表处,然后右键gethostbyname函数名选择Xrefs graph to查看有多少函数调用它结果如图:五条线说明有五个函数调用他


4在上题的输出表处,选择函数名gethostbyname并且按X,显示所有对hethostbyname的调用,找到,0x10001757(sub_10001656+101)双击到达代码处,分析如下,0x100019040处的全局变量地址赋值给eax,eax+0dh得到要请求的DNS名字,再压入栈作为gethostbyname的参数,所以双击查看10019040处代码,再双击跳转到1001994处看到字符串,[This is RDO]pics.praticalmalwareanalysis.com,去掉前头0dh个字符得到pics.praticalmalwareanalysis.com




5 6按G跳转到0x10001656往

最低0.47元/天 解锁文章
默守不成规
关注
恶意代码分析实战实验Lab 7-1
m0_37442062的博客
05-06 668
Lab 7-1静态分析IDA Pro1.当计算机重启之后，这个程序如何保证它继续运行（达到持久化驻留）？2.为什么这个程序会使用一个互斥量？3.可以用来检测这个程序的基于主机特征是什么？4.检测这个恶意代码的基于网络特征是什么？5.这个程序的目的是什么？6.这个程序什么时候完成执行？参考 静态分析IDA Pro 字符串： 可以看到有一个 MalService，可以推测该程序创建了一个系统服务。 HGL345暂定。网址信息http://www.malwareanalysisbook.com用户代理信息Int
Lab05-01恶意代码分析
12-20
恶意代码分析实战 Lab05-01.dll IDA Pro 21道题详细分析
恶意代码分析实战Lab 5-1
m0_37442062的博客
05-05 800
1.DllMain的地址是什么？ 使用IDA打开后，鼠标所在位置（第一次分析时还有图，再进来就没有了） .text:1000D02E 2.使用Imports窗口并浏览到gethostbyname, 导入函数定位到什么地址？ .idata:100163CC 3.有多少函数调用了gethostbyname? Jump to xref operand 函数交叉引用，p是引用，r是读取，必须先读取，再引用。引用了9次，被5个函数调用。 4.将精力集中在位于0x10001757处的对gethostbyname的
《恶意代码分析实战》实验——Labs-05
草草君
09-14 808
恶意代码分析实战实验——Labs-05 记录《恶意代码分析实战》中的实验，提供相关链接： 电子书的下载 i春秋由相关实验的视频教程 标题恶意代码分析实战实验——Labs-05Labs-05-1实验 Labs-05-1实验 1.  DLLmain函数地址是什么？    回答: 0x1000D02E，双击Function name窗口的DLLMain函数即可在主窗口中进行跳转。 2.   使用Import 窗口浏览到gethostbyname，导入函数定位到什么地址
恶意代码分析实战-lab5-1
qq_41810304的博客
07-18 1243
《恶意代码分析实战》这本书简要的讲了一下IDA咋用，虽然以前做CTF也用过，但是只是一些简单的题，所以只会Ctrl+F，搜索“main”，然后F5，看伪代码。经过一段时间的简单学习，好像会一点点了，但是真的只会一点点。即便如此，我还是记录一下这次的学习吧。 在这学习之前，我还是要瞎扯几句。作为初学者，我按照书上的注意事项，选择了binary方式反编译，然而，啥也没有，连导出和导入函数都没有。果然初学者还没有理解透的情况下还是默认反编译吧。文中多多少少会有一些错误的地方，请各...
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
恶意代码分析Lab09-03
06-07
恶意代码分析Lab09-03
恶意代码分析实战Lab1-2
王陈锋的博客
04-10 604
Lab1-2 分析Lab1.2.exe文件 2. 是否有这个文件被加壳或混淆的任何迹象？ 利用PEID进行查看 普通扫描如下： 普通扫描没有发现加壳 核心扫描如下： 核心扫描发现upx加壳 发现加壳后，要进行脱壳操作，可以利用ollydbg进行手动脱壳，具体操作在另篇博文，博文稍后会发。 或者进行upx自动脱壳 dos命令 图形窗口 ...
恶意代码分析实例
04-19
恶意代码分析实例 病毒、木马实际案例分析 恶意代码分析实例
恶意代码分析与防范.ppt
08-29
恶意代码分析与防范 什么是上网安全意识 恶意代码如何进入我们的计算机？ 恶意代码以什么形式存在于我们的计算机中？
恶意代码分析技术ppt
12-02
。。恶意代码分析技术ppt
学习笔记-第五章 恶意代码分析实战
Yes_butter的博客
03-11 928
第五章 1.加载可执行文件。可以选择加载方式。 使用二进制文件进行反汇编等等。因为恶意代码有时 会带有shellcode，其他数据，加密参数，甚至在合法的PE文件中带有可执行文件，并且包含这 些附加数据的恶意代码在Windows上运行或被加载到IDA Pro时，它并不会被加载到内存。 2.选择合适的反汇编窗口模式 <1>图形模式，图形模式更容易看清流程，对于每一个跳转比较清除 &...
恶意代码分析实战-通过IDA对恶意代码进行静态分析（Lab05-01.dll）
maluxiao123的博客
10-19 1351
恶意代码分析实战，Lab05-01.dll
恶意代码分析实战——利用IDA PRO分析Lab05-01.dll
妙蛙种子吃了都会妙妙秒的妙脆角的博客
11-20 4191
恶意代码分析实战——利用IDA PRO分析Lab05-01.dll 1.实验目的 利用IDA Pro分析Lab05-01.dll中发现的恶意代码，回答以下问题： DLLMain的地址是什么？ 使用Imports窗口并浏览到gethostbyname，导入函数定位到什么地址？ 有多少函数调用了gethostbyname？ 将精力集中在位于0x10001757处的对gethostbyname的调用，你能找出哪个DNS请求将被触发吗？ IDA Pro 识别了在0x10001656处的子过程中的多少个局部变量？
恶意代码分析实战 第五章课后实验
Stronger_99的博客
04-10 870
问题1： 用ida打开Lab05-01.dll。就可以看到DllMain的地址为0x1000D02E。 问题2： 点开Imports，找到gethostbyname,双击点进去就可以看到了。 问题3： 单击地址，Ctrl+x。 一共检测到18个，但是并不全是，r为读取不是函数的调用，p才是函数的调用，看地址1047,1365,1656,208F,2CCE。一共有5个...
Ucore lab5 操作系统实验
Ding 的博客
09-08 1566
LAB5实验报告 ​ 17342005丁佳奇 实验相关知识 （主要从教学ppt、gitbook、学堂在线上了解掌握并根据CSDN查询了解更加详细的信息） 在lab4中我们已经实现了内核线程的管理，本次实验我们将实现用户进程的...
恶意代码分析模板
热门推荐
hupoling的专栏
12-28 9万+
基本信息   报告名称：                                                       作者：                                                               报告更新日期：                                               样本发现日期：
《恶意分析》中的lab07-02实验
最新发布
06-19
恶意分析是一项极为重要的技能，对于网络安全工作人员而言，研究恶意软件的行为以及解析恶意代码都是非常必要的。而在《恶意分析》这本书中，作者提供了一个lab07-02实验，该实验主要介绍了通过内省来捕获和检测恶意软件的活动。 这个实验首先介绍了一种虚拟化技术，在虚拟环境中安装了一个Windows操作系统，并运行了一个恶意软件样本。通过运行一个内省应用进行监控和捕获，分析恶意软件的行为和活动。这个内省应用可以监控到恶意软件的所有系统调用、网络通讯、文件读写等操作，将这些行为捕获并存储到一个文件中。 在分析这些行为之后，实验进一步介绍了如何使用一些工具对这些数据进行解析和可视化。通过使用Wireshark工具，可以分析恶意软件的网络通讯行为，包括使用的协议、发送的数据等。通过使用Process Monitor工具，则可以分析恶意软件对系统的文件和注册表做了哪些修改。 这个实验的意义在于，通过分析恶意软件的行为和活动，可以更好的了解恶意软件的机理和攻击手段，为后续的恶意软件分析工作打下基础。同时，这个实验还向我们展示了内省技术的重要性和应用场景，这是一项非常有前途的技术。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值