恶意代码分析实战—实验6-2

实验环境

实验设备环境：windows xp
实验工具：IDAPro，PEID，strings，wireshark

实验过程

使用strings程序进行基础的静态分析：

出现了一个恶意程序可能访问的网址，以及一些反应网络连接状态的字符串。
现在我们可以使用PEID进行分析，查看其导入表：

我们主要关注WINNET.dll程序引用的API。（如果兴趣可以通过MSDN查找相关API作用）

下面我们通过wireshark进行动态分析：
开启wireshark以后，运行程序：

其中存在DNS数据包，解析圈出的网址，还存在HTTP包，使用的是get请求获得页面信息。

下面使用IDA分析：
1、main函数调用的第一个子过程执行了什么函数？

其调用了系统获取网络连接状态的函数，说明此过程的目的是获得网络连接状态。
2、位于0x40117F的子过程是什么？
此过程是用来打印字符串信息的：

如果函数内部图片中的是正数的话，说明是函数的参数，也不是局部变量。
3、main函数调用的第二个子过程做了什么，使用了什么代码结构？
调用的第二个子过程是函数（sub_401040），点击进入：

我们会发现其调用情况基本上都是和网络相关的。

此恶意代码主要是通过解析恶意网址，从网址中获取信息并将其读出来之后判断前四个字符，最后进行了60s的休眠。