20192405张纹豪 2021-2022-2 《网络与系统攻防技术》实验四实验报告
20192405张纹豪 2021-2022-2 《网络与系统攻防技术》实验四实验报告
一.实验内容
一、恶意代码文件类型标识、脱壳与字符串提取
二、使用IDA Pro静态或动态分析crackme1.exe与crakeme2.exe，寻找特定输入，使其能够输出成功信息。
三、分析一个自制恶意代码样本rada，并撰写报告，回答问题
四、取证分析实践
二.实验过程
任务一：恶意代码文件类型标识、脱壳与字符串提取
（1）在kali中使用file指令查看文件类型
（2）用PEid查看加壳工具
（3）用strings指令查看字符串
由于没有脱壳所以为乱码
（4）使用脱壳工具脱壳
（5）查看字符串
- 执行RaDa_unpacked.exe程序，在Win10中使用ProcessExplorer查看程序的Strings，看到Copyright (C) 2004 Raul Siles & David Perez，可知作者是Raul Siles和David Perez
任务二：使用IDA Pro静态或动态分析crackme1.exe与crakeme2.exe，寻找特定输入，使其能够输出成功信息。
1.creakme1.exe
（1）将crackme1.exe导入IDA pro
（2）查看函数调用图
- 通过分析函数调用信息，可以猜测主要的函数为
sub_401280，通过jump->jump to function->sub_401280
（3）查看函数汇编代码
找到sub_401280函数的流程图
函数首先判断参数个数是否为2：
若参数个数不为2，输出I think you are missing something；
若参数个数为2，则将第二个参数与I know the secret作比较，正确则输出You know how to programs
所以我们推测，输入的口令是I know the secret
再次运行程序验证猜想
运行成功！
2.分析crakeme2.exe
（1）查看函数调用图
可以看出401280函数段负责判断输入参数
（2）查看函数汇编代码
可以看出这个文件要判断参数位数是否正确、程序名是否正确、密码是否正确
（3）进行验证
验证成功
任务三：分析一个自制恶意代码样本rada，并撰写报告，回答以下问题
3.1 实验过程
- 在Kali终端下使用
md5sum命令查看摘要信息
md5摘要为 caaa6985a43225a0b3add54f44a0d4c7
- 打开
process explorer后运行软件，查看属性发现rada启动后有如下行为：
（1）通过HTTP协议请求10.10.10.10\RaDa\RaDa_commands.html
（2）将文件RaDa.exe复制到了C:\RaDa\bin目录下
（3）修改注册表，将rada设置为开机启动HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run（控制计算机启动项的注册表信息）
（4）信息里反复提到了cgi，经过查询发现cgi程序是在远程访问服务器时自动运行的程序。它不能放在任意目录下，必须放在cgi-bin目录下才可以运行
radar用cgi程序实现了文件的上传下载，下载的文件保存在了C:/RaDa/tmp目录下
（5）完成这一系列操作后 程序开始执行DDOS远程攻击 即控制主机来攻击其他主机
任务四：取证分析实践
1.IRC是什么？当IRC客户端申请加入一个IRC网络时将发送那个消息？IRC一般使用那些TCP端口？
IRC是Internet Relay Chat 的英文缩写，中文一般称为互联网中继聊天。它是由芬兰人Jarkko Oikarinen于1988年首创的一种网络聊天协议。申请时要发送口令、昵称和用户信息：USER 、PASS 、NICK。明文传输时一般使用6667端口，ssl加密时一般使用6697端口。
2.僵尸网络是什么？僵尸网络通常用于什么？
僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。常用来实行拒绝服务攻击、发送垃圾邮件以及挖矿。
3.蜜罐主机（IP地址：172.16.134.191）与那些IRC服务器进行了通信？
筛选数据包，筛选条件为ip.src == 172.16.134.191 && tcp.dstport == 6667，可以看到5个IRC服务器，分别是209.126.161.29、66.33.65.58、63.241.174.144、209.196.44.172、217.199.175.10。
发现蜜罐主机与5台IRC服务器进行了连接：
209.126.161.29、66.33.65.58、63.241.174.144、217.199.175.10、209.196.44.172
4.在这段观察期间，多少不同的主机访问了以209.196.44.172为服务器的僵尸网络？
- 命令
tcpflow -r botnet_pcap_file20192413.bat "host 209.196.44.172 and port 6667"读取文件，筛选host和端口6667分流。得到三个文件
在report.xml文件中可以看到双方的ip地址，端口，mac地址等
输入cat 209.196.044.172.06667-172.016.134.191.01152 | grep "^:irc5.aol.com 353" | sed "s/^:irc5.aol.com 353 rgdiuggac @ #x[^x]*x .//g" | tr ' ' '\n' | tr -d "\15" | grep -v "^$" | sort -u | wc -l来搜索有多少主机连接。
得到结果显示有3461台主机访问了
5 哪些IP地址被用于攻击蜜罐主机？
输入指令tcpdump -n -nn -r botnet_pcap_file.dat 'dst host 172.16.134.191' | awk -F " " '{print $3}' | cut -d '.' -f 1-4 | sort | uniq | more > 20192405.txt;wc -l 20192403.txt
将攻击蜜罐主机的ip筛选出输出至20192403.txt文件中
结果显示有165个IP地址用于攻击蜜罐主机
6 攻击者尝试攻击了那些安全漏洞？
kali终端输入tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191 and tcp[tcpflags]== 0x12' | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq筛选响应的tcp端口
筛选响应的tcp端口
得到的TCP端口有:
135(rpc)、139(netbios-ssn)、25(smtp)、445(smb)、 4899(radmin)、 80(http)
输入tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191' and udp | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq筛选响应的udp端口
结果显示程序访问量udp 137端口，此端口在局域网中提供计算机的IP地址查询服务，处于自动开放状态，可用于NetBIOS查点
7 哪些攻击成功了？是如何成功的？
用wire shark逐一分析前一问排查出被扫描的端口
tcp 445端口
有61.111.101.78向蜜罐主机发送PSEXESVC.EXE
PsExec通常会被攻击者用作远程主机执行命令，客户端执行psexec.exe后若服务器认证成功，会将psexesvc.exe上传到服务端的ADMIN$目录并作为服务运行，在执行完命令后删除对应的服务和psexesvc.exe。
通过对客户端和服务端的事件日志、注册表、文件系统进行分析，可以从客户端主机获得连接的目的主机，连接时间等信息；从服务端主机可以获得连接的客户端信息，连接时间等信息。
点进去分析数据包发现主机是有响应的，此攻击成功
tcp 80端口
发现24.197.194.106 与蜜罐的有交互连接数最多
snort对数据包扫描发现,大部分报警信息都为WEB-IIS、WEB-CGI、 WEBFRONTPAGE、WEB-MISC，即24.197.194.106利用IIS漏洞对蜜罐主机进行 了Web探测，但是没有成功
- 分析发现
218.25.147.83向蜜罐主机发送的http报文带有蠕虫（c:\notworm）
三. 实验中遇到的问题
脱壳一开始失败了，换了1.3才脱壳成功，不知道为什么版本高了反而失败。
四. 实验感想
这次的实践是真的多！我也写的是真的慢，慢慢的品味教材，慢慢的再写知识点再慢慢的做实践，边做边查，艾玛，我真的成了个慢蜗牛了！不过这次的实践中最让我满意的是实践三，按照教材的逻辑框架自己实现了实践，而且下载到了两个不错的工具，很nice~废话不多说了，继续努力吧！不得不说自己真的不大行。这周的四个题从前到后一个比一个让我头疼。尤其是最后一个，要不是有同学的博客做参考，我怕是弄不出来多少
