![](https://img-blog.csdnimg.cn/20201014180756928.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
恶意程序实战分析
文章平均质量分 74
王陈锋
没有什么可看的,没有什么意思
展开
-
恶意代码实战分析Lab05-01
Lab05-01只用IDA Pro分析在文件Lab05-01.dll中发现的恶意代码。这个实验的目标是给你一个用IDA Pro动手的经验。如果你已经用IDA Pro工作过,你可以选择忽略这些问题,而将精力集中在逆向工程恶意代码上。1.DllMain的地址是什么?使用IDA打开后,鼠标所在位置或者点击图中红色区域然后会出现viewB然后可以右键点击便到了dllmain的开头地址。2.使用Imports窗口并浏览到gethostbyna......原创 2022-06-10 08:47:40 · 744 阅读 · 1 评论 -
恶意代码实战分析Lab03-04
Lab03-04使用基础的动态行为分析工具来分析在Lab03-04.exe文件中发现的恶意代码。一上来就动态分析,感觉还是先静态,静态可以大致分析程序的一个粗略的作用,便于动态分析时要多注意哪些内容。程序并没有加壳,导入表中的dll,可以判断出程序有网络操作可以看到导入表中具有复制文件、读写文件功能。还有创造文件、创建进程等功能。还有个getSystemDirectoryA函数用来获取系统目录。关于注册表的操作、创建服务、删除服务等等。在查看字符串的...原创 2022-04-13 18:17:56 · 863 阅读 · 0 评论 -
恶意代码分析实战 Lab 3-3
Lab 3-3目录Lab 3-31、当使用process monitor进行监控的时候,你发现了什么?2、你可以找出任何的内存修改代码么?3、这个恶意代码在主机上的感染特征是什么?1、当使用process monitor进行监控的时候,你发现了什么?在打开Lab03-03.exe之前,先开监控软件,进行监控。在process monitor中,发现程序一启动,就有大量的svchost.exe。在process monitor中,发现没有Lab03-03.exe原创 2022-04-13 16:33:31 · 1135 阅读 · 0 评论 -
恶意代码分析实战Lab3-2
Lab3-2使用动态分析基础技术来分析在Lab03-02.dll文件中发现的恶意代码。1.你怎样才能让这个恶意代码自行安装?Windows系统中的rundll32.exe专用于运行dll程序rundll32.exe Lab03-02.dll,installA然后我们在windows自带的注册表编辑器中发现安装成功,安装了一个名为ServiceDll的文件2.安装之如何让恶意代码运行起来?利用regshot,发现注册表新增一个IPRIP服务3.怎么可以找到这个恶意.原创 2022-04-11 21:27:04 · 1303 阅读 · 2 评论 -
恶意代码分析实战Lab3-1
Lab3-1使用动态分析基础技术来分析lab03-01.exe1.找出这个恶意代码的导入函数与字符串列表首先PEiD查壳,发现加壳从导入表中可以发现只有一个导入的动态链接库利用ida进行分析2.这个恶意代码在主机上的感染迹象特征是什么3.这个恶意代码是否存在一些有用的网络特征,如果存在,是什么?...原创 2022-04-10 21:53:25 · 1813 阅读 · 0 评论 -
恶意代码分析实战Lab1-4
Lab1-4目录Lab1-42.是否有这个文件被加壳或混淆的任何迹象?如果是这样,这些迹象是什么?如果该文件被加壳,请进行脱壳,如果可能的话。3.这个文件是什么时候被编译的?4.有没有任何导入函数能够暗示出这个程序的功能?如果是,是哪些导入函数,它们会告诉你什么?5.有哪些基于主机或基于网络的迹象,可以被用来确定被这个恶意代码所感染的机器?6. 这个文件在资源段中包含一个资源。使用Resource Hacker工具来检查资源,然后抽取资源。从资源中你能发现什么吗?依次分析.原创 2022-04-10 15:39:50 · 648 阅读 · 0 评论 -
恶意代码分析实战Lab1-3
Lab1-3分析Lab1.3.exe文件目录Lab1-32. 是否有这个文件被加壳或混淆的任何迹象?3.有没有任何导入函数能够暗示出这个程序的功能?如果是,是哪些导入函数,它们会告诉你什么?4.有哪些基于主机或基于网络的迹象,可以被用来确定被这个恶意代码所感染的机器?2. 是否有这个文件被加壳或混淆的任何迹象?利用PEiD进行分析程序利用FSG1.0进行加壳操作利用ollybdg进行手动脱壳在尝试了一番之后,我发现这个脱完壳后还得进行修复,就搁置在这里。原创 2022-04-12 09:19:15 · 566 阅读 · 2 评论 -
恶意代码分析实战Lab1-2
Lab1-2分析Lab1.2.exe文件2. 是否有这个文件被加壳或混淆的任何迹象?利用PEID进行查看普通扫描如下:普通扫描没有发现加壳核心扫描如下:核心扫描发现upx加壳发现加壳后,要进行脱壳操作,可以利用ollydbg进行手动脱壳,具体操作在另篇博文,博文稍后会发。或者进行upx自动脱壳dos命令图形窗口...原创 2022-04-10 14:14:22 · 580 阅读 · 0 评论 -
恶意代码分析实战Lab1-1
Lab1-12. 这些文件是什么时候编译的?采用将程序导入到PE view,进行分析,在PE文件的头部->NT头->文件头处可以看得PE文件的创建日期。exe文件DLL文件亦或者可以使用010 Editor进行分析。3. 这两个文件是否存在迹象说明它们是否被加壳或混淆?将文件分别拖进PEiD进行分析。exe文件DLL文件可以判断两个文件都无加壳,未被混淆。4. 是否有导入函数显示出了这个恶意代码是做什...原创 2022-04-10 11:30:10 · 1184 阅读 · 0 评论