病毒分析教程第四话--高级静态逆向分析（上）

高级静态逆向分析（上）

---

教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm

---

PS：由于高级静态逆向分析过程冗杂，所以本话使用问答的方式进行讲解。

Lab 7-1

本节实验使用样本Lab07-01.exe。

当计算机重启后，这个程序任何确保它继续运行（达到持久化驻留）？

使用IDA打开Lab07-01.exe，切换到导入表视图，一眼就瞟到了几个创建服务的API，跟进查看CreateServiceA函数，发现该样本注册了一个名为“MalService”的服务，而且，服务运行状态（dwStartType）为自启动（0x02），所以可以确定，该样本是通过注册一个自启动服务来实现持久化驻留的。