20155232《网络对抗》Exp4 恶意代码分析

1.实践目标

1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。

1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

使用schtasks指令监控系统运行

每5分钟记录一下有哪些程序在连接网络，输入以下命令，每五分钟就会监测哪些程序在使用网络，并把结果记录在netstatlog.txt文档里，但是不显示记录的时间和日期，这可能不便于我们判断，要是想显示日期和时间，我们可以通过bat批处理文件来实现。

schtasks /create /TN 20155232netstat /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

在C盘要目录下建一个文件netstatlog.bat

下面是如何建立一个.bat文件（批处理文件）的过程：

首先创建一个.txt文档并且将内容输入进去：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

然后将文件另存为并且将名字修改为以.bat为后缀的名称，将保存类型改为所有文件。

最后将此文件移到c盘根目录下：
双击运行，打开控制面板->任务计划程序，找到我们的任务

双击点开，找到操作，点击所有项里的属性选项,击详细信息，修改txt为bat。

点击确定.可以看到记录文件netstatlog.txt中的记录有了日期和时间（每五分钟记录一次）

出现在上面的我都查了一下是什么东东！

本机ip：

使用excel工具将之前创建的文本文件导入数据，设置使用分隔符号，并勾选全部分隔符号。

对进程使用透视图：

查看外部网络连接：

做成一个条形图更为清晰：

使用sysmon工具监控系统运行

sysmon工具先要配置文件，一开始我直接用的是老师给的配置文件稍作修改：

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">WeChat.exe</Image>
  <Image condition="end with">360se.exe</Image>
  <SourcePort condition="is">137</SourcePort>
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>

问题

在cmd中输入安装指令提示错误信息

解决

在安装这个软件的过程中需要以管理员身份运行，在win10中点击