《网络对抗技术》Exp4 恶意代码分析 20201302姬正坤

《网络对抗技术》Exp4 恶意代码分析

一、实践步骤

1、系统运行监控

任务要求：使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包.

使用schtasks指令监控系统:

输入指令如下图，每五分钟记录下有哪些程序在连接网络,每3分钟就会监测哪些程序使用网络，结果记录在netstatlog.txt中

TN是TaskName的缩写；sc表示计时方式，以分钟计时填MINUTE；TR=Task Run，要运行的指令是netstat -bn,b表示显示可执行文件名，n表示以数字来显示IP和端口。

新建文件netstat输入一段代码，保存为bat文件

打开计算机管理，找到刚创建的程序netstat

更改设置如下

这里需要勾上最高权限运行，否则后面会出错

一段时间等待，netstat.txt记录数据

将数据导入到表格，查看统计

2、安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为

点击Sysmon64.exe，在属性详细信息查看产品版本

确定要监控的目标：在这里我选择进程创建、进程创建时间、网络连接、远程线程创建

写配置文件

开始写与自己想要监控的事件相对应的配置文件如下

点击查看代码

<Sysmon schemaversion="4.12">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
    </ProcessCreate>

    <ProcessCreate onmatch="include">
      <ParentImage condition="end with">cmd.exe</ParentImage>
    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>

    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <NetworkConnect onmatch="include">
      <DestinationPort condition="is">80</DestinationPort>
      <DestinationPort condition="is">443</DestinationPort>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">firefox.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

exclude相当于白名单，不用记录。include相当于黑名单

版本号4.12对应本机的sysmon版本

Image condition根据自己使用的浏览器更改，如谷歌浏览器是chrome.exe，IE浏览器是iexplore.exe

网络连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务，且查看目的端口为80（http）和443（https）的网络连接。（137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。127.0.0.1表示本机IP。）

远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。

explorer.exe是Windows程序管理器或者文件资源管理器

svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。

winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。

powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。