恶意代码分析实战Lab1201

最新推荐文章于 2023-01-25 18:05:39 发布
最新推荐文章于 2023-01-25 18:05:39 发布
阅读量216 收藏 1
点赞数
分类专栏： 恶意代码分析实战
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kevin66654/article/details/80407854
版权

分析exe：

先看看psapi.dll这个是不是系统dll：系统进程状态支持模块

这里可能是对explorer.exe的监听

动态运行：

每割一段时间会弹框

在dll中发现：


每隔一分钟会弹框一次

用procexp分析explorer.exe，发现是个DLL注入

RESTART这个进程一下，就可以注入的dll删掉了

直接重启电脑也行

说明这个恶意程序是个一次性的

Flying_Fatty
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
恶意代码分析实战
博文视点（北京）官方博客
05-28 7836
安全技术大系 恶意代码分析实战（最权威的恶意代码分析指南，理论实践分析并重，业内人手一册的宝典） 【美】Michael Sikorski（迈克尔.斯科尔斯基）, Andrew Honig（安德鲁.哈尼克）著   诸葛建伟 姜辉 张光凯 译 ISBN 978-7-121-22468-3 2014年4月出版 定价：128.00元 732页 16开 编辑推荐 不管你是否有恶意代码
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战 5 分析恶意Windows程序
农夫果园好好喝的博客
01-24 1132
本次实验分析lab07-01.exe,lab07-02.exe,先来看lab07-01.exe的问题首先，查看导入函数。OpenSCManagerA和CreateServiceA函数暗示着这个恶意代码可能创建一个服务，来保证它在系统被重启后运行，StartServiceCtrlDispatcherA导入函数提示了这个文件是一个服务。调用了StartServiceCtrlDispatcherA函数，这个函数被程序用来实现一个服务，并且它通常立立即被调用。
恶意代码分析实战Lab1
weixin_47038938的博客
01-25 4795
Lab1-1恶意代码分析实战恶意代码样本下载Lab1-1二、使用步骤1.引入库2.读入数据总结 恶意代码分析实战 Michael Sikorski Andrew Honig 著 诸葛建伟 姜辉 张光凯 译 恶意代码样本下载 前言-先决条件-恶意代码样本下载链接： https://practicalmalwareanalysis.com/ 1.点击Labs 2.点击Download NOTE: We provide a self-extracting archive and an encrypted
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析
妙蛙种子吃了都会妙妙秒的妙脆角的博客
12-09 1725
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析 1.实验目的 分析Lab06-01.exe~Lab06-04.exe 2.实验环境（硬件、软件） Winxp虚拟机： 硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz 软件：32位操作系统 3.实验步骤 (一)Lab06-01.exe 1、由main函数调用的唯一子过程中发现的主要代码结构是什么？ 先声明了一个局部变量var_4，然后调用了InternetGetConn
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
Lab05-01恶意代码分析
12-20
恶意代码分析实战 Lab05-01.dll IDA Pro 21道题详细分析
恶意代码分析实战课后配套练习
08-28
恶意代码分析实战课后配套练习
南开大学-恶意代码分析实验报告合集
最新发布
03-16
本文件包含南开大学《恶意代码...实验内容除Lab2为补充的Yara规则实验外，其它均为课本《恶意代码恶意代码分析实战》中对应章节的实验。 此外，实验报告中也包含部分补充的编写Yara规则和IDA Python扫描规则的编写。
恶意代码分析实战实验Lab 1-2 + Lab 1-3 + Lab 1-4
m0_37442062的博客
05-04 1261
Lab 1-2 问题 1.将Lab01-02.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？ 2.是否有这个文件被加壳或混淆的任何迹象？如何是这样，这些迹象是什么？如果该文件被加壳，请进行脱壳，如果可能的话。 PEID 通过EP段为UPX1和什么都没找到可以推断这个样本存在加壳的情况，使用linxerUnpacker工具脱壳，使用壳特征脱壳和OEP侦测脱壳均未成功，说明不是已知壳，点击未知壳脱壳，成功。 对于脱壳后的exe文
恶意代码分析实战 Lab13
baidu_41108490的博客
06-01 1268
lab13-0112首先调用sub_401300函数程序是一系列的资源操作函数,目的是找到资源存到内存在调用401190解密,可以到,是在和3bh进行异或解密,最后把数据地址传回我们用resourcehaacker看一下把它保存二进制文件再用winhex打开,再把数据异或3bh,得到一个url接着看程序,调用WSAStartup,wsa启动命令然后两个sleep(分别睡了500ms和30000ms...
恶意代码分析实战 Lab16-02
wangtiankuo的博客
08-30 656
知识点： TLS回调 TLS回调被用来在程序入口点执行之前运行代码。若可执行程序的PE头部包含一个.tls段，则可能此程序使用了反调试技术。 分析报告 1． 样本概况 样本名称Lab16-02.exe，编译器为Microsoft Visual C++ v6.0。 1.1样本信息 样本名称：Lab16-02.exe MD5值： E88B0D6398970E74DE1DE457B971
学习笔记-第十四章 恶意代码分析实战
Yes_butter的博客
03-26 1474
第十四章 恶意代码的网络特征 1.网络应对措施。 网络行为的基本属性包括IP地址，TCP端口，以及流量内容等，网络和安全 设备可以利用它们，来提供网络应对措施。根据IP地址和端口，防火墙和路由器可以限制对 网络的访问。 入侵检测系统，入侵防御系统，以及电子邮件和web代理等其他安全应用。 作为常用术语的 入侵检测系统已经过时了。特征不再仅仅用在入侵检测方面，还可以用来检测网络扫描，服 务枚举与分...
恶意代码分析实战 6 OllyDbg
农夫果园好好喝的博客
01-24 1850
首先，进行静态分析，使用strings。HTTP/1.0GETSLEEPcmd.exe>> NUL这里有一些东西我们比较在意，我们可以看到该程序对注册表和环境变量进行了一些操作，并且具有网络特征；出现了cmd.exe可能具有远程shell的功能；创建了文件，可能下载了什么东西。接下来进行动态分析，将程序拖入IDA和OllyDbg中，在IDA中查找该函数的起点，然后在OllyDbg中定位到起点，进行分析。
恶意代码分析实战12-01
Yale的博客
09-20 522
本次实验我们将会分析lab12-01.exe文件。先来看看要求解答的问题： Q1.在你运行恶意代码可执行文件时，会发生什么? Q2.哪个进程会被注入? Q3.你如何能够让恶意代码停止弹出窗口? Q4.这个恶意代码样本是如何工作的? 通过peview载入lab12-01.exe 可以看到一些导入函数：CreateRemoteThread,WriteProcessMemory以及VirtualAllocEx.这些导入函数是恶意代码在进行进程注入时常用的。 再到字符串窗口 可以看到explorer.exe,l
恶意代码分析实战 第五章课后实验
Stronger_99的博客
04-10 847
问题1： 用ida打开Lab05-01.dll。就可以看到DllMain的地址为0x1000D02E。 问题2： 点开Imports，找到gethostbyname,双击点进去就可以看到了。 问题3： 单击地址，Ctrl+x。 一共检测到18个，但是并不全是，r为读取不是函数的调用，p才是函数的调用，看地址1047,1365,1656,208F,2CCE。一共有5个...
恶意代码分析实战 18 64位
农夫果园好好喝的博客
01-25 803
当你运行这个程序却没带任何参数，它会立即退出。main函数有三个参数入栈，分别是一个整数和两个指针。main函数位于0x00000001400010C0处。你可以通过寻找接受一个整数与两个指针作为输入参数的函数调用定位main函数。字符串oc1.exe存储在栈中。这里对字符串进行了检查，如果在不改变二进制程序文件名的前提下，让这个程序运行。为了不修改可执行程序的文件名就能让这个程序运行有效载荷，你需要修补在0x0000000140001213处的jump指令，将其替换为NOP指令。
恶意代码分析实战Lab0301
ACdream
01-28 946
先查壳 看到PEncrypt 3.1 Final -> junkcode的壳，没见过。上次下载的万能脱壳机脱不下来这个 于是网上先找了一波脱壳教程 https://bbs.pediy.com/thread-90089.htm 找到了这个脱壳的案例和教程，链接底下也有demo下载可供调试（学会了这个用这种方式还是脱不下来这个题的） 最后想到了内存DUMP的办法，即使我不
恶意代码分析实战 Lab 3-2 习题笔记
isinstance的博客
09-04 2985
问题1.你怎样才能让这个恶意代码自行安装？解答： 这个看书上解答是 利用rundll32.exe工具，使用命令rundll32.exe Lab03-02.exe, installA，来运行恶意代码导出installA函数，便可将恶意代码安装为一个服务 这是怎么发现的呢先使用静态分析技术PEview找到这么五个导出函数然后再用Dependency Walker查看依赖，会发现一些有趣的函数说明代码
Combat-lab深度解析：静态路由详解与实战
Combat-lab，作为一家专注于企业级IT项目实战的培训机构，提供了详细的静态路由讲解，帮助网络工程师深入理解和掌握这一技术。 静态路由的优点在于其简单性和效率。对于小型网络或者网络结构相对固定的环境，静态...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值