恶意样本分析-Lab16-01 反调试1分析

最新推荐文章于 2022-06-21 11:08:31 发布
VIP文章 最新推荐文章于 2022-06-21 11:08:31 发布
阅读量483 收藏 1
点赞数
分类专栏： 病毒分析 学习资料整理
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/loopherbear/article/details/106339906
版权

恶意样本分析-Lab16-01 反调试1分析

这个样本是随书《恶意代码分析实战》第十六章的样本，主要用来熟悉反调试的一些手段，这个算是样本分析中需要掌握的基础知识。这篇笔记会包含了静态分析和静态分析。基本要求

在这里插入图片描述

在分析这个样本之前可以先看一下恶意样本分析–16Windows中一些常用的反调试记录

静态分析

静态分析就不做PE信息的分析，直接走IDA分析，这个过程尽量不走伪代码分析，分析汇编指令，便于在x64dbg上分析时快速定位。

由于已经在第九章分析了，因此这里关注到反调试手段。首先来到入口处看到关键指令

在这里插入图片描述

很明显这个两个检测都是PEB结构的变量的检测

最低0.47元/天 解锁文章
LoopherBear
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
恶意样本分析手册
不忘初心，护天下安全！
10-14 887
图解恶意样本分析的常用方法，你与安全专家的差距只有一篇文章！
恶意样本分析--16Windows中一些常用的反调试记录
LoopherBear的博客
05-25 555
Windows中一些常用的反调试记录 这里笔记会记录一些关于Windows中的反调试技术的汇编代码，方便后续分析程序时回来查看。反调试技术包括 Windows APIs 调用 其他手段检测调试器 Windows APIs IsDebuggerPresent 这个函数主要检测的是PEB的IsDebugged标志，如果返回非零值则表示被调试 CheckRemoteDebuggerPresent 这个函数和IsDebuggerPresent函数一样也是检测PEB->IsDebugged状态值， 不过还可
《恶意代码分析实战》实验——Labs-16
草草君
04-21 251
《恶意代码分析实战》实验——Labs-16 记录《恶意代码分析实战》中的实验，提供相关链接： 电子书的下载 （*＾-＾*）《恶意代码分析实战》实验——Labs-16Labs-16-01实验静态分析：IDA分析动态分析问题Labs-16-02实验静态分析：IDA分析动态分析问题Labs-16-03实验静态分析：IDA分析问题 Labs-16-01实验 样本：Lab16-01.exe 静态分析： 查壳——无壳，Win32 console程序，需要命令行启动 查看输入表—— KERNEL32.DLL：读写
恶意代码分析实战 Lab16
baidu_41108490的博客
06-06 416
lab16-01程序开头就判断了PEB结构,的BeingDebugged是否为为0,如果为0则loc_403573正常执行,否则调用sub_401000接着正常路径走,发现程序又查看了processheap的forceflag标志,同样为0是无调试最后查看了NTGlobalFlag,是否为70h.70则是调试状态然后程序还要求参数不为1看被识别处程序处于调试时函数sub_401000做了什么程序会...
简单的恶意样本行文分析-入门篇
weixin_48421613的博客
06-21 992
开篇引题，此篇文章为入门入门文章，里面的内容为后续软件安全分析铺垫，有点东西，但是不多，所以大家觉得有用就看一眼，觉得无用就不看哈，别喷；此类应用场景呢，其实就是恶意样本行为分析、在遇到后门、应急响应后将恶意样本拷贝走之后去做一个初步的排查，能发现样本做了些什么，他有哪些功能等等...
恶意样本分析手册——理论篇
iopoint的专栏
07-27 650
0x00写在最前面 开场白：快报快报！今天是2017 Pwn2Own黑客大赛的第一天，长亭安全研究实验室在比赛中攻破Linux操作系统和Safari浏览器（突破沙箱且拿到系统最高权限），积分14分，在11支队伍中暂居 Master of Pwn 第一名。作为热爱技术乐于分享的技术团队，我们开办了这个专栏，传播普及计算机安全的“黑魔法”，也会不时披露长亭安全实验室的最新研究成果。 安全领域博大精深，很多童鞋都感兴趣却苦于难以入门，不要紧，我们会从最基础的内容开始，循序渐进地讲给大家。技术长路漫漫，我们携.
一个恶意样本的分析
信息安全
08-09 4119
1.1样本信息1．样本概况 病毒名称：bea213f1c932455aee8ff6fde346b1d1960d57ff MD5: 6E4B0A001C493F0FCF8C5E9020958F38 SHA1: BEA213F1C932455AEE8FF6FDE346B1D1960D57FF CRC32: 1CD8074D 1.2测试环境及工具 2.1.1 测试环境 Windows ...
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析
m0_46687377的博客
12-09 1354
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析 1.实验目的 分析Lab06-01.exe~Lab06-04.exe 2.实验环境（硬件、软件） Winxp虚拟机： 硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz 软件：32位操作系统 3.实验步骤 (一)Lab06-01.exe 1、由main函数调用的唯一子过程中发现的主要代码结构是什么？ 先声明了一个局部变量var_4，然后调用了InternetGetConn
恶意代码分析实战_实验练习
weixin_41487541的博客
02-14 3300
Lab1-1 2. 这些文件是什么时候编译的？ 在PE文件中，IMAGE_NT_HEADERS > IMAGE_FILE_HEADER > Time Date Stamp字段记录了文件编译时间。利用 010 Editor 打开exe文件和DLL文件，找到相应字段如下： 可知exe文件编译时间为2010.12.19 16:16:19 3. 这两个文件是否存在迹象说明它们是否被加壳或混淆？ 利用PEiD检测两个文件的加壳情况： ...
产品样本的分析研讨- 后开式叶轮化工泵.rar
05-04
产品样本的分析研讨- 后开式叶轮化工泵
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
36524C90CA1FAC2102E7653DFADB31B2 样本分析报告
12-18
恶意代码分析报告 APT-28-Fancybear 组织 MD5: 36524C90CA1FAC2102E7653DFADB31B2
APT-34-36fcaf23def7876d16000a319c3ac744 样本分析报告
最新发布
12-18
恶意代码分析报告 APT-34组织 MD5：36fcaf23def7876d16000a319c3ac744
汇总病毒样本的常用反调试技术、反分析技巧（持续更新）
ATree的博客
09-06 1203
自己在看到一些没见过的反调试技术时，感觉很好奇，不清楚时如何反调试的，但是还是会很努力的去弄懂它们，现在呢，我希望记录下我见过的一些反调试手段，这样后面大家如果碰到类似的反调试技术时，都会很容易理解这段恶意代码的作用了。 1、下图中是通过检测kernel32.dll模块中是否有导出wine_get_unix_file_name函数，来判断当前环境是否是Wine模拟器环境 2、下图中的v3的...
恶意样本分析手册——API函数篇
m0_37442062的博客
06-06 1013
文件类、网络类、注册表与服务类、进程线程类、注入类、驱动类、加密与解密、消息传递等各种类别恶意样本分析。 文件类 kernel32!CreateFile 功能：这是一个多功能的函数，可打开或创建以下对象，并返回可访问的句柄：控制台，通信资源，目录（只读打开），磁盘驱动器，文件，邮槽，管道 函数原型： HANDLE WINAPI CreateFile( _In_ LPCTSTR l...
恶意样本分析流程记录
weixin_42877778的博客
01-15 2932
拿到一个恶意样本，要先对其进行静态分析了解其基本函数，推测它的功能，然后再进行动态分析测试样本执行，学习《恶意样本分析实战》并在此记录对于一个恶意样本应该进行的流程分析。 反病毒引擎扫描 在拿到一个恶意样本时可以先使用多个反病毒软件扫描这个文件， ...
自己动手搭建恶意软件样本行为分析环境
weixin_33753003的博客
07-25 479
文章同时发表在: [url]http://netsecurity.51cto.com/art/200707/52055.htm[/url] 互联网的飞速发展在给用户的日常工作生活带来了巨大方便的同时，也给各种各样的恶意软件提供了一片繁衍扩散的沃土。媒体上时有关于某种恶意软件大规模流行造成严重损失的报道。恶意软件的扩散早已引起信息安全业界的重视，各安全软...
恶意样本分析手册-虚拟机检测篇（下）
zzkk_的博客
08-14 4607
在当今信息安全领域，特别是恶意软件分析中，经常需要利用到虚拟机技术，以提高病毒分析过程的安全性以及硬件资源的节约性，因此它在恶意软件领域中是应用越来越来广泛。这里我们所谓的虚拟机（Virtual Machine）是指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。 虚拟机检测 一、VMWare 1.1查找注册表 通过检测注册表“HARDWARE\DEVICE
使用x64dbg调试dll程序
LoopherBear的博客
05-26 6710
使用x64dbg调试dll程序 这篇笔记是根据Lab16使用x64dbg调试带参数程序新增加的，记录了如何调试一个dll文件。 在很多时候一些程序会将核心功能放在dll文件内来完成，这样避免程序被查杀或者被逆向分析，主要手段是通过LoadLibrayA函数来加载一个dll文件，同时这个dll的DllMain函数会被调用以此来达到执行dll的程序。 在Windows上要独立执行一个dll程序，那么需要用到rundl32.exe来完成，因此可以借助这个程序来达到调试dll的目的。 分析dll程序的启动方式 这个
《恶意分析》中的lab07-02实验
06-19
而在《恶意分析》这本书中，作者提供了一个lab07-02实验，该实验主要介绍了通过内省来捕获和检测恶意软件的活动。 这个实验首先介绍了一种虚拟化技术，在虚拟环境中安装了一个Windows操作系统，并运行了一个恶意...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值