20174303刘金晖 Exp4 恶意代码分析

时间：2020-04-15 21:15:11 阅读：96 评论：0 收藏：0 [点我收藏+]

实验内容

任务一：系统运行监控

1.使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

输入 schtasks /create /TN netstat-4303 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > D:\netstat-4303.txt" 指令创建计划任务 netstat4303

　　技术分享图片

新建一个文本文件以netstat-4303.bat 命名，输入以下内容：

date /t >> c:\netstat20174303.txt 
time /t >> c:\netstat20174303.txt 
netstat -bn >> c:\netstat20174303.txt

打开任务计划程序，可以看到创建的任务：

　　技术分享图片

　　修改编辑计划任务

　　技术分享图片

一段时间后

　　技术分享图片

用Excel分析数据：在Excel中打开数据->导入数据->分隔符号，下一步中标记所有分隔符号

　　技术分享图片

对数据进行统计学分析
- 首先选中我们要分析的列
- 点击上方“插入”->“数据透视图”
- 默认选择在一个新工作表中生成
- 将该字段拖动到下方的“轴字段”和“数值”两个区域中

　　技术分享图片

　　如图，使用最多的是“MicrosoftEdge.exe”，其次是WPS，我是做完实验全部截图后完成报告，没有登微信和打开其他软件，没有很多其他操作。

2.sysmon工具监控系统

在官网下载sysmon工具，并设置配置文件

<Sysmon schemaversion="10.42">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>

    <ProcessCreate onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
    </ProcessCreate>

    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>