20155331《网络对抗技术》Exp4：恶意代码分析

实验过程

计划任务监控

在C盘根目录下建立一个netstatlog.bat文件（先把后缀设为txt，保存好内容后记得把后缀改为bat），内容如下：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

以管理员身份打开命令行，输入schtasks /create /TN netstat /sc MINUTE /MO 1 /TR "c:\netstat.bat"指令创建一个任务。

设置任务里的操作：

检测完成：

sysmon工具监控

下载老师发到群里的文件~首先对sysmon进行配置，在C盘下面建立Sysmoncfg.txt，用来存储安装指令，指令如下：

<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
 <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</   Signature>
<Signature condition="contains">windows</ Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
</NetworkConnect>

<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</  TargetImage>
<TargetImage condition="end with">svchost.exe</   TargetImage>
<TargetImage condition="end with">winlogon.exe</  TargetImage>
<SourceImage condition="end   with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>

进入安装文件夹底下输入命令Sysmon.exe -i C:\Sysmoncfg.txt 进行安装。.然后再更新一下。