20145120黄玄曦《计算机病毒》动静态分析结合

20145120黄玄曦《计算机病毒》动静态分析结合

用各种工具对9-3.exe分析，并回答问题

1 该程序导入了哪些DLL

用PEid查看导入表（或PEexplore），导入了KERNEL32,NETAPI,DLL1,DLL2等4个dll

用IDA分析，因为动态导入会用到loadLibrary函数，查看该函数交叉引用，可见导入了DLL3，USER32等两个dll

2 三个DLL要求的基地址分别是多少？

用PEid查看，或用IDA查看，三个都是10000000h

3 当时用OD调试该程序时，实际分配的基地址分别是多少？

用OD调试9-3.exe，dll1，dll2直接加载，地址如图10000000，003D0000

用IDA查看，在00401041处调用loadLibrary加载dll3，OD跳转至此，在下面设置断点并运行后可看到地址如图00440000

4 当该程序调用DLL1.dll中的一个导入函数时，这个导入函数做了什么？

这个 函数是DLLPrint，该函数输出了dword_10008030的值，查看交叉引用可知，这是当前的该进程的进程号

5 当该程序调用writefile函数时，文件名是什么？

writefile函数调用了dll2中dll2print和returnJ函数，returnJ的返回值其实就是dword_1000B078，该值由dll2print获得，1000B078保存的是temp.txt文件的句柄，所以文件名就是temp.txt

6 当该程序调用NetScheduleJpbAdd创建一个Job时，从哪里得到第二个参数值？

该参数要从dll3GetStructure函数取得，是一个结构体，用IDA查看，其值从dword_1000B0A0获得，查看交叉引用，可发现改结构体赋值数据

7 该程序打印的三块数据中，三个dll的数据分别是什么？

第一个神秘数据是该进程的进程号，第二个神秘数据是temp.txt的句柄，前面有体现

第三个神秘数据是保存一条ping指令字符串ping www.malwareanalysisbook的地址

用IDA打开dll3，查看dll3Print函数可见，要输出的是wideCharStr的内容

8 如何将dll2.dll加载到IDA中，使其与OD中加载的地址匹配？

将dll2拖到IDA中，勾选manual load，输入地址3D0000，中间一路yes即可

参考资料

动静结合分析效果好

转载于:https://www.cnblogs.com/20145120hxx/p/6920828.html