2019-2020-2-20175332 张苗-《网络对抗技术》-exp4 恶意代码分析

1.实践内容

（1）系统运行监控

使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

创建计划任务schtasks /create /TN netstat5332 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\5332log.txt"

参数解释

TN是TaskName的缩写，我们创建的计划任务名是netstat5332;
sc表示计时方式，我们以分钟计时填MINUTE；
TR是Task Run，要运行的指令是netstat
bn，b表示显示可执行文件名，n表示以数字来显示IP和端口;
>表示输出重定向，将输出存放在c:\5332log.txt文件中

创建脚本文件netstat5332.bat用于显示记录的日期时间，内容如下：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

查看文本文件

导入统计

结果：

进程使用次数从大到小排列

[MicrosoftEdgeCP.exe]--------与浏览器关联进程

[svchost.exe]--------微软Windows操作系统中的系统文件

[360tray.exe]--------360安全卫士实时监控程序

[vmware-hostd.exe]-------虚拟机程序进程

[SearchUI.exe]-------Win10小娜搜索进程

[vmware.exe]-------虚拟机程序

[vmware-authd.exe]------虚拟机程序

安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为

安装软件
写配置文件，代码如下：

  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">   //不记录  
      <Image condition="end with">chrome.exe</Image> 
    </ProcessCreate>  //进程创建

    <FileCreateTime onmatch="exclude" >  //不记录
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>  
    
    <NetworkConnect onmatch="exclude">   //不记录
      <Image condition="end with">chrome.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>
    <NetworkConnect onmatch="include">     //记录
      <DestinationPort condition="is">80</DestinationPort>      
      <DestinationPort condition="is">443</DestinationPort>    
    </NetworkConnect> //网络连接

    <CreateRemoteThread onmatch="include">  //记录
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
  </Sysmon>