20155232《网络对抗》Exp4 恶意代码分析

2022-06-11 01:47:25

20155232《网络对抗》Exp4 恶意代码分析

1.实践目标

1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。

1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

使用schtasks指令监控系统运行

每5分钟记录一下有哪些程序在连接网络，输入以下命令，每五分钟就会监测哪些程序在使用网络，并把结果记录在netstatlog.txt文档里，但是不显示记录的时间和日期，这可能不便于我们判断，要是想显示日期和时间，我们可以通过bat批处理文件来实现。

schtasks /create /TN 20155232netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

在C盘要目录下建一个文件netstatlog.bat

下面是如何建立一个.bat文件（批处理文件）的过程：

首先创建一个.txt文档并且将内容输入进去：

date /t >> c:\netstatlog.txt

time /t >> c:\netstatlog.txt

netstat -bn >> c:\netstatlog.txt

然后将文件另存为并且将名字修改为以.bat为后缀的名称，将保存类型改为所有文件。

最后将此文件移到c盘根目录下：
双击运行，打开控制面板->任务计划程序，找到我们的任务

双击点开，找到操作，点击所有项里的属性选项,击详细信息，修改txt为bat。

点击确定.可以看到记录文件netstatlog.txt中的记录有了日期和时间（每五分钟记录一次）

出现在上面的我都查了一下是什么东东！

本机ip：

使用excel工具将之前创建的文本文件导入数据，设置使用分隔符号，并勾选全部分隔符号。

对进程使用透视图：

查看外部网络连接：

做成一个条形图更为清晰：

使用sysmon工具监控系统运行

sysmon工具先要配置文件，一开始我直接用的是老师给的配置文件稍作修改：

<Sysmon schemaversion="3.10">

  <!-- Capture all hashes -->

  <HashAlgorithms>*</HashAlgorithms>

  <EventFiltering>

<!-- Log all drivers except if the signature -->

<!-- contains Microsoft or Windows -->

<DriverLoad onmatch="exclude">

  <Signature condition="contains">microsoft</Signature>

  <Signature condition="contains">windows</Signature>

</DriverLoad>

<NetworkConnect onmatch="exclude">

  <Image condition="end with">WeChat.exe</Image>

  <Image condition="end with">360se.exe</Image>

  <SourcePort condition="is">137</SourcePort>

</NetworkConnect>

<CreateRemoteThread onmatch="include">

  <TargetImage condition="end with">explorer.exe</TargetImage>

  <TargetImage condition="end with">svchost.exe</TargetImage>

  <TargetImage condition="end with">winlogon.exe</TargetImage>

  <SourceImage condition="end with">powershell.exe</SourceImage>

</CreateRemoteThread>

  </EventFiltering>

</Sysmon>