2018-2019-2 20165221『网络对抗技术』Exp4：恶意代码分析

实验要求：

是监控你自己系统的运行状态，看有没有可疑的程序在运行。
是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

实验内容：

系统运行监控
1. 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
2. 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
恶意软件分析
1. 分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时
  1. 读取、添加、删除了哪些注册表项
  2. 读取、添加、删除了哪些文件
  3. 连接了哪些外部IP，传输了什么数据（抓包分析）

具体实验操作：

系统运行监控

使用
schtasks /create /TN netstat20165221 /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"成功创建任务netstst20165221
在C盘中新建文件20165221netstatlog.bat1,并放入以下内容

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

打开任务计划程序，就可以找到新建的这个进程
双击这个任务，点击操作并编辑，将“程序或脚本”改为我们创建的20165221netstatlog.bat1批处理文件，确定。
点击常规，点击使用最高权限运行：
如在"条件"选项卡中把“只有在计算机使用交流电源时才启动此任务”选项关闭
运行一段时间后，就可以在刚刚创建的文件中查看本机的联网记录
最后做成excel表格

安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为

创建sysmon5221.txt 作为配置文件

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">     
      <Image condition="end with">chrome.exe</Image> 
    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>
    <NetworkConnect onmatch="include">     
      <DestinationPort condition="is">80</DestinationPort>      
      <DestinationPort condition="is">443</DestinationPort>    
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>