随笔分类 - 恶意代码分析技术

隐蔽的恶意代码启动

摘要：1、启动器启动器是一种设置自身或其他恶意代码片段以达到即时或将来秘密运行的恶意代码。启动器的目的是安装一些东西，以使恶意行为对用户隐藏。 2、进程注入隐藏启动的最流行技术是进程注入。顾名思义，这种技术是将代码注入到另外一个正在运行的进程中，而被注入的进程会不知不觉地运行注入的代码。恶意代码编写者阅读全文

posted @ 2016-11-18 20:33 linuxsec 阅读(1114) 评论(0) 推荐(0) 编辑

恶意代码行为

摘要：1、下载器和启动器常见的两种恶意代码是下载器和启动器。下载器从互联网上下载其他的恶意代码，然后在本地系统中运行。下载器通常会与漏洞利用（exploit）打包一起。下载器常用windows API函数URLDownloadtoFileA和WinExec，来下载并运行新的恶意代码。启动器（也称为加载阅读全文

posted @ 2016-11-18 20:32 linuxsec 阅读(751) 评论(0) 推荐(0) 编辑

恶意代码的网络特征

摘要：网络行为的基本属性包括IP地址、TCP与UDP端口、域名，以及流量内容等，网络和安全设备可以利用它们，来提供网络应对措施。 1、在原始环境中观察恶意代码恶意代码分析的第一步不应该是在实验环境中运行恶意代码，也不应该是解刨恶意代码分析它的反汇编代码。与之相反的是，你应该首先查看已经获得的关于恶意代码阅读全文

posted @ 2016-11-18 20:31 linuxsec 阅读(426) 评论(0) 推荐(0) 编辑

动态分析基础

摘要：有几个功能一体化的软件产品,可以用来进行基本的动态分析,最流行的就是使用沙箱技术。沙箱是一种在安全环境里运行不信任程序的安全机制，不用担心伤害到“真正的”系统。在计算机安全专业人士眼中，Norman沙箱和GFI沙箱是最受欢迎的。 1、如何成功启动DLL文件在所有的windows版本中都包含run 阅读全文

posted @ 2016-11-18 20:27 linuxsec 阅读(445) 评论(0) 推荐(0) 编辑

静态分析基础技术

摘要：1、使用反病毒软件来确认程序样本的恶意性在分析一个可疑的恶意代码样本时，第一步就最好是拿多个反病毒软件扫描下这个文件，看是否有哪个引擎已经能够识别它。反病毒软件是不完美的，它们主要依靠一个已知恶意代码可识别片断的特征数据库，以及基于行为与模式匹配的分析（启发式检测），来识别可疑文件。一些罕见的恶阅读全文

posted @ 2016-11-18 20:24 linuxsec 阅读(877) 评论(0) 推荐(0) 编辑

恶意代码分析技术

摘要：1、恶意代码分析技术恶意代码分析有两类方法：静态分析和动态分析。静态分析方法是在没有运行恶意代码时对其进行分析的技术，而动态分析方法则需要运行恶意代码，而这两类技术又进一步分析基础技术和高级技术。 1）、静态分析技术基础技术静态分析基础技术包括检查可执行文件但不查看具体指令的一些技术。静态分析基阅读全文

posted @ 2016-11-18 20:23 linuxsec 阅读(790) 评论(0) 推荐(0) 编辑