恶意代码分析实战实验Lab 1-2 + Lab 1-3 + Lab 1-4

最新推荐文章于 2023-08-29 20:34:27 发布
最新推荐文章于 2023-08-29 20:34:27 发布
阅读量1.3k 收藏 12
点赞数
分类专栏： 恶意代码分析实战
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_37442062/article/details/116405166
版权

由于这三个题目很相似，放在一起了。

Lab 1-2

问题

1.将Lab01-02.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？

在这里插入图片描述

2.是否有这个文件被加壳或混淆的任何迹象？如何是这样，这些迹象是什么？如果该文件被加壳，请进行脱壳，如果可能的话。

PEID
在这里插入图片描述
通过EP段为UPX1和什么都没找到可以推断这个样本存在加壳的情况，使用linxerUnpacker工具脱壳，使用壳特征脱壳和OEP侦测脱壳均未成功，说明不是已知壳，点击未知壳脱壳，成功。
在这里插入图片描述
对于脱壳后的exe文件再次使用PEID，发现

最低0.47元/天 解锁文章
进一寸有一寸的欢喜077
关注
专栏目录
恶意代码分析实战实验Lab 3-1 + Lab 3-2
m0_37442062的博客
05-05 970
Lab 3-1 使用动态分析基础技术分析在Lab03-01.exe文件中发现的恶意代码。 问题 1.找出这个恶意代码的导入函数与字符串列表？ 使用PEID和strings 发现有壳，先尝试脱壳。使用linxerUnpacker脱壳失败。 所以说题目中说使用动态分析嘛 使用Dependency Walker（PE模块依赖性分析工具）可以看到导入函数。 使用strings查看字符串 比较可疑的字符串 CONNECT %s:%i HTTP/1.0 联网 admin 管理员 vmx32to64.exe 检测虚拟机
《恶意代码分析实战》lab1-3
最新发布
weixin_51588494的博客
03-24 185
答：我没有从程序的导入函数中分析出恶意代码的功能是什么。但在沙箱的动态调试，抓包中发现其访问了许多域名，且一些域名在国外。同时，其程序大小特别小只有5kb，字符串等检验工具都无法扫描出信息。如果是这样，这些迹象是什么?如果是，是哪些导入函数，它们会告诉你什。4.有哪些基于主机或基于网络的迹象，可以被用来确定被这个恶意代码所感染的机器?在网上找到了集成脱壳工具，覆盖的面还是挺广的。可以查看，计算机，时候有访问境外以及其他奇怪域名的流量行为。fsg1.0，也是比较基础的加壳，可以使用手动脱壳。
恶意代码分析实战Lab1-2
王陈锋的博客
04-10 604
Lab1-2 分析Lab1.2.exe文件 2. 是否有这个文件被加壳或混淆的任何迹象？ 利用PEID进行查看 普通扫描如下： 普通扫描没有发现加壳 核心扫描如下： 核心扫描发现upx加壳 发现加壳后，要进行脱壳操作，可以利用ollydbg进行手动脱壳，具体操作在另篇博文，博文稍后会发。 或者进行upx自动脱壳 dos命令 图形窗口 ...
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战
博文视点（北京）官方博客
05-28 7882
安全技术大系 恶意代码分析实战（最权威的恶意代码分析指南，理论实践分析并重，业内人手一册的宝典） 【美】Michael Sikorski（迈克尔.斯科尔斯基）, Andrew Honig（安德鲁.哈尼克）著   诸葛建伟 姜辉 张光凯 译 ISBN 978-7-121-22468-3 2014年4月出版 定价：128.00元 732页 16开 编辑推荐 不管你是否有恶意代码
恶意代码分析实战Lab1
ACdream
01-25 1155
0101分析 这里可以查看到时间戳 如上图，使用PEiD可以侦测壳，发现这个DLL和EXE都是无壳的，VC++6.0编译的 接着使用IDA对代码进行简单的静态分析 先分析DLL： OpenMutex和CreateMutex说明是多客户端 CreateProcess说明在远端的服务器有在本地开启进程的权限 这里可以看到恶意代码服务端的IP地址：127.26.152.
《恶意代码分析实战》实验——Labs-15
草草君
04-21 398
《恶意代码分析实战》实验——Labs-15 记录《恶意代码分析实战》中的实验，相关链接： 电子书的下载 标题《恶意代码分析实战》实验——Labs-15Labs-15-01实验静态分析：IDA分析问题Labs-15-02实验静态分析：IDA分析问题Labs-15-03实验静态分析：IDA分析问题 Labs-15-01实验 Lab15-01.exe 静态分析： 查壳——无壳 查看输入表——MSVCRT.dll Strings分析——出现比较有意思的字符串 IDA分析 在main函数中发现xor
恶意代码分析实战 5 分析恶意Windows程序
农夫果园好好喝的博客
01-24 1164
本次实验分析lab07-01.exe,lab07-02.exe,先来看lab07-01.exe的问题首先，查看导入函数。OpenSCManagerA和CreateServiceA函数暗示着这个恶意代码可能创建一个服务，来保证它在系统被重启后运行，StartServiceCtrlDispatcherA导入函数提示了这个文件是一个服务。调用了StartServiceCtrlDispatcherA函数，这个函数被程序用来实现一个服务，并且它通常立立即被调用。
恶意代码分析实战实验Lab 7-3
m0_37442062的博客
05-06 696
Lab 7-3静态分析strings + IDA pro分析EXE分析DLL1.这个程序如何完成持久化驻留，来确保在计算机被重启后它能继续运行？2.这个恶意代码的两个明显的基于主机特征是什么？3.这个程序的目的是什么？4.一旦这个恶意代码被安装，你如何移除它？参考 静态分析strings + IDA pro 查看字符串 exe kerne`132`.dll kernel32.dll C:\windows\system32\kerne`132`.dll C:\Windows\System32\Kerne
恶意代码分析实战实验Lab 7-1
m0_37442062的博客
05-06 671
Lab 7-1静态分析IDA Pro1.当计算机重启之后，这个程序如何保证它继续运行（达到持久化驻留）？2.为什么这个程序会使用一个互斥量？3.可以用来检测这个程序的基于主机特征是什么？4.检测这个恶意代码的基于网络特征是什么？5.这个程序的目的是什么？6.这个程序什么时候完成执行？参考 静态分析IDA Pro 字符串： 可以看到有一个 MalService，可以推测该程序创建了一个系统服务。 HGL345暂定。网址信息http://www.malwareanalysisbook.com用户代理信息Int
恶意代码分析实战实验Lab 1-1
m0_37442062的博客
05-04 1107
Lab 1-1 对Lab01-01.exe和Lab01-01.dll进行分析 问题 1.将文件上传至http://www.VirusTotal.com进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗? Lab01-01.exe： 在details里可以看到基础属性、检测历史、命名、PE信息（头、节、导入导出表等） 在community可以看到一些沙箱的分析报告等，有助于对样本加深理解。 Lab01-01.dll：同理上传即可 2.这些文件是什么时候编译的? 使用PEView，这里应该有一个Time
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析
妙蛙种子吃了都会妙妙秒的妙脆角的博客
12-09 1751
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析 1.实验目的 分析Lab06-01.exe~Lab06-04.exe 2.实验环境（硬件、软件） Winxp虚拟机： 硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz 软件：32位操作系统 3.实验步骤 (一)Lab06-01.exe 1、由main函数调用的唯一子过程中发现的主要代码结构是什么？ 先声明了一个局部变量var_4，然后调用了InternetGetConn
恶意样本分析实战——SmokeLoader
weixin_51409218的博客
08-29 368
恶意样本分析实战——SmokeLoader
恶意代码分析实战 Lab13
baidu_41108490的博客
06-01 1292
lab13-0112首先调用sub_401300函数程序是一系列的资源操作函数,目的是找到资源存到内存在调用401190解密,可以到,是在和3bh进行异或解密,最后把数据地址传回我们用resourcehaacker看一下把它保存二进制文件再用winhex打开,再把数据异或3bh,得到一个url接着看程序,调用WSAStartup,wsa启动命令然后两个sleep(分别睡了500ms和30000ms...
恶意代码分析实战 Lab16-02
wangtiankuo的博客
08-30 669
知识点： TLS回调 TLS回调被用来在程序入口点执行之前运行代码。若可执行程序的PE头部包含一个.tls段，则可能此程序使用了反调试技术。 分析报告 1． 样本概况 样本名称Lab16-02.exe，编译器为Microsoft Visual C++ v6.0。 1.1样本信息 样本名称：Lab16-02.exe MD5值： E88B0D6398970E74DE1DE457B971
恶意代码分析实战Lab1201
ACdream
05-22 235
分析exe：先看看psapi.dll这个是不是系统dll：系统进程状态支持模块这里可能是对explorer.exe的监听动态运行：每割一段时间会弹框在dll中发现：每隔一分钟会弹框一次用procexp分析explorer.exe，发现是个DLL注入RESTART这个进程一下，就可以注入的dll删掉了直接重启电脑也行说明这个恶意程序是个一次性的...
学习笔记-第十四章 恶意代码分析实战
Yes_butter的博客
03-26 1506
第十四章 恶意代码的网络特征 1.网络应对措施。 网络行为的基本属性包括IP地址，TCP端口，以及流量内容等，网络和安全 设备可以利用它们，来提供网络应对措施。根据IP地址和端口，防火墙和路由器可以限制对 网络的访问。 入侵检测系统，入侵防御系统，以及电子邮件和web代理等其他安全应用。 作为常用术语的 入侵检测系统已经过时了。特征不再仅仅用在入侵检测方面，还可以用来检测网络扫描，服 务枚举与分...
《恶意分析》中的lab07-02实验
06-19
恶意分析是一项极为重要的技能，对于网络安全工作人员而言，研究恶意软件的行为以及解析恶意代码都是非常必要的。而在《恶意分析》这本书中，作者提供了一个lab07-02实验，该实验主要介绍了通过内省来捕获和检测恶意软件的活动。 这个实验首先介绍了一种虚拟化技术，在虚拟环境中安装了一个Windows操作系统，并运行了一个恶意软件样本。通过运行一个内省应用进行监控和捕获，分析恶意软件的行为和活动。这个内省应用可以监控到恶意软件的所有系统调用、网络通讯、文件读写等操作，将这些行为捕获并存储到一个文件中。 在分析这些行为之后，实验进一步介绍了如何使用一些工具对这些数据进行解析和可视化。通过使用Wireshark工具，可以分析恶意软件的网络通讯行为，包括使用的协议、发送的数据等。通过使用Process Monitor工具，则可以分析恶意软件对系统的文件和注册表做了哪些修改。 这个实验的意义在于，通过分析恶意软件的行为和活动，可以更好的了解恶意软件的机理和攻击手段，为后续的恶意软件分析工作打下基础。同时，这个实验还向我们展示了内省技术的重要性和应用场景，这是一项非常有前途的技术。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值