20155330 《网络攻防》 Exp4 恶意代码分析

实验后回答问题

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

使用Windows自带的schtasks指令设置一个计划任务，指定每隔一定时间记录主机的联网记录或端口开放、注册表信息等；
通过sysmon工具，配置需要记录事件的文件，之后在事件查看器里找到相关日志文件查看；
使用Process Explorer工具，监视进程执行情况，查看是否有程序调用了异常的dll库之类的。

（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息

使用systracer工具分析某个程序执行前后，计算机注册表、文件、端口的一些变化情况。

实验过程

使用schtasks指令监控系统

在C盘目录下建立一个netstatlog.bat文件，用来将记录的联网结果格式化输出到netstatlog.txt文件中，netstatlog.bat内容为：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

此时C盘中的文件：
打开Windows下命令提示符，输入指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"创建一个每隔两分钟记录计算机联网情况的任务
右键点击“计算机”|“管理”，在计算机管理中点击“任务程序计划”|“任务程序计划库”，双击netstat任务计划项目，点击“操作”页签，“编辑”|修改“程序或脚本”为C:\netstatlog.bat
在“操作”中，将“只有在计算机使用交流电源时才启动此任务”选项取消
过了一会查看netstatlog.txt文件……
再次双击netstat任务计划项目，在“常规”页签中勾选“使用最高权限运行”
隔了大约一天之后，再次查看记录的主机联网日志。
根据张竞予同学的博客，制作了相关表格和饼状图。由于使用的是虚拟机进行实践，所以联网的应用程序种类较少。

使用sysmon工具监控系统

首先创建配置文件Sysmon20155303.xml，内容如下：

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">chrome.exe</Image>
  <Image condition="end with">iexplorer.exe</Image>
  <SourcePort condition="is">137</SourcePort>
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>

使用命令Sysmon.exe -i C:\Sysmon20155330.xml安装Sysmon
在“事件查看器”中查看程序相关信息。
Sysmon.exe -c C:\Sysmon20155330.xml更改配置文件，监听443和80端口，无异常发生。

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">SogouExplorer.exe</Image>
</NetworkConnect>

<NetworkConnect onmatch="include">     
  <DestinationPort condition="is">80</DestinationPort>      
  <DestinationPort condition="is">443</DestinationPort>    
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>