2018-2019-2 网络对抗技术 20165337 Exp4 恶意代码分析

1.实践目标

1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。

1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

2.实践内容

2.1系统运行监控

（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

参考：schtask与sysmon应用指导

实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

** 2.2恶意软件分析**

分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

（3）读取、添加、删除了哪些注册表项

（4）读取、添加、删除了哪些文件

（5）连接了哪些外部IP，传输了什么数据（抓包分析）

实验过程

实验一：使用schtasks指令监控系统

使用管理员权限创建任务，输入如下指令
schtasks /create /TN netstat5303 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"
命令创建计划任务:netstat5337

其中，TN是TaskName的缩写，我们创建的计划任务名是netstat5303；sc表示计时方式，我们以分钟计时填MINUTE；TR=Task Run，要运行的指令是 netstat -bn,b表示显示可执行文件名，n表示以数字来显示IP和端口。

在C盘创建一个txt文件，然后写入下列代码：
date /t >> c:\netstat5337.txt time /t >> c:\netstat5337.txt netstat -bn >> c:\netstat5337.txt
然后将后缀名改为.bat

打开我的电脑，右键单击管理，点击任务计划管理，再点击任务计划程序库就可以看到自己刚刚创建的任务计划

双击任务点击编辑，点击浏览将“程序或脚本”改为netstat5337.bat批处理文件，确定即可。添加参数那里需要把其他的数据都删掉，在首界面要点击使用最高权限运行，否则的话就可能在C盘中无法创建txt文件。

执行此任务一段时间后你就会在C盘里面看见自己创建的netstat5337.txt

然后在Excel中把自己的数据进行系统性的分析，首先导入数据。

对表格进行统计做一些数据透视图，然后就可以更直观的看到那些应用程序进行了链接

从中发现谷歌浏览器联网次数最多，因为经常使用，尤其做实验的时候来回开网页
之后是小娜和金山，都是后台运行联网
其他就是一些后台应用软件

然后就是本地链接的地址

192.168.1.226最多，可能是我的本机地址

外部地址：

链接最多的两个是117.18.232.200和128.58.101.49
这俩地址一个是澳大利亚一个是美国

实验二：系统监控——Sysmon工具

Sysmon是微软Sysinternals套件中的一个工具，能监控几乎所有的重要操作。
首先我们根据实验指导书中的链接下载一下Sysinternals套件，下载下来之后解压，这里一定要注意！！！千万不要直接解压到当前文件夹，一堆看不懂的文件安排的明明白白，一定要建个文件夹解压！！！
接下来，新建并编辑配置文件C:\20165337.xml exclude相当于白名单，里面的程序或IP不会被记录，include相当于黑名单，可以把自己想监控的写到黑名单中
这是xml文件内容

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

使用命令sysmon.exe -i C:\20165337.xml进行Sysmon的配置更新与启动

之后在win10环境下，在我的电脑右键——管理——事件查看器——应用程序和服务日志——Microsoft————Windows——Sysmon——Operational。这里，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等等。

事件识别码1 :进程建立 
事件识别码2 :进程更改了文件创建时间 
事件识别码3 :网络连接 
事件识别码4 : Sysmon服务状态已变更 
事件识别码5 :进程已终止 
事件识别码6 :已载入驱动程式 
事件识别码7 :已载入影像 
事件识别码8 :创建远程线程 
事件识别码9 : RawAccessRead 
事件识别码10 :进程访问 
事件识别码11 :文件创建 
事件识别码12 :注册事件(创建和删除对象) 
事件识别码13 :注册事件(值集) 
事件识别码14 :注册事件(键和值重命名) 
事件识别码15 :文件创建流哈希 
事件识别码255 :错误

观察一个事件识别码为1的详细信息，谷歌浏览器建立的进程

观察一个事件识别码为5的详细信息，可以看到这是一个有关搜狗输入法的进程终止事件

观察一个事件识别码为2的详细信息，迅雷更改文件创建时间，不知道为什么...

之后打开kali虚拟机，然后使用我们实验三中的后门文件进行回连，然后观察回连成功后的日志

可以看到20165337.exe后门程序创建了网络连接，这应该就是后门回连的时候创建的网络连接使用tcp连接。

接下来我输入照相指令看一下又创建了哪些进程，从图上看到，启动了driver。我猜是启动了相机的驱动程序，而且事件识别码也是6：已载入驱动程式

接下来进行截屏的操作，从图上看出来进行了网络连接，应该是截了屏之后把数据传过去了，所以才会有网络连接，事件识别码3 :网络连接

实验三：恶意软件分析

先把自己的后门软件上传的网站上看一下，很容易被检测到

使用systracer进行分析

首先下载systracer
之后运行程序

我分别创建了四个快照：
1.初始状态，2.成功回连，3.远程操作，4.结束链接：

点击右下角的比较，查看变化
这是注册表，在进行kali回连的时候对很多注册表项都进行了改变

再看文件，不少文件发生变动，尤其是exp4.exe，是我这次的后门文件

应用程序的变化，主要的还是我的后门程序exp4.exe

接下来用wireshark抓包分析连接了哪些外部IP，传输了什么数据

设置主机host为192.168.1.184我的kali虚拟机的IP地址，然后回连看抓到了哪些东西

发现大部分的包都是请求的tcp三次握手请求建立的包，可能他是在大量的发送请求命令然后进行连接

然后打开一个命令包，发现就是三次握手请求建立

然后进行截屏或者录像等操作

发现还只是一堆tcp包，打开一个

正常的三次握手

使用Process Monitor进行分析

Process Monitor一款系统进程监视软件，总体来说，Process Monitor相当于Filemon+Regmon，其中的Filemon专门用来监视系统 中的任何文件操作过程，而Regmon用来监视注册表的读写操作过程。 有了Process Monitor，使用者就可以对系统中的任何文件和 注册表操作同时进行监视和记录，通过注册表和文件读写的变化， 对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说，非常 有用。 这是一个高级的 Windows 系统和应用程序监视工具，由优秀的 Sysinternals 开发，并且目前已并入微软旗下，可靠性自不用说。

运行后门程序进行回连后打开软件，找到后门程序

进程的详细信息

实验中的问题：

1.在任务计划程序库里配置完成后不能点击确定，出现任务出错,错误消息,一个或多个的指定的参数无效窗口，百度了之后解决了。问题链接：https://zhidao.baidu.com/question/1383075504353290300.html?fr=iks&word=%C8%CE%CE%F1%B3%F6%B4%ED%2C%B4%ED%CE%F3%CF%FB%CF%A2%2C%D2%BB%B8%F6%BB%F2%B6%E0%B8%F6%B5%C4%D6%B8%B6%A8%B5%C4%B2%CE%CA%FD%CE%DE%D0%A7&ie=gbk
2.sysmon那一栏没有，重启电脑之后好了

心得体会

通过这次实验我学会了检测自己电脑里的软件都干了些啥，能搞明白自己的网速，性能都去哪了，这种了解自己电脑的过程感觉很美好，感觉自己终于能对自己的电脑有所掌控了

转载于:https://www.cnblogs.com/y963976867/p/10666897.html