恶意代码分析实战Lab1001

最新推荐文章于 2024-10-13 13:36:42 发布
原创 最新推荐文章于 2024-10-13 13:36:42 发布 · 303 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文探讨使用IDA进行exe文件分析的技巧，包括注册表操作、ControlService调试等问题，并提出使用regshot对比注册表变化的方法。

用IDA分析下exe


啊哈

问题1：注册表操作

书上提示说是用Procmon，其实用regshot来对比可能更直观吧



啊哈

问题2：ControlService调试





问题3：程序功能

啊哈





啊哈




啊哈

恶意代码分析实战（开坑） LAB1[含实验链接]
Peanuts
04-01 2095
恶意代码分析实战-实验 lab1-1 网站报告分析 上传分析www.virustotal.com pe工具使用分析时间 使用petools工具查看 查壳分析 利用PEID工具查看 调用的函数分析 lab1.exe调用了FindFirstFile``FindNextFile``CopyFile 很有可能病毒在搜索并且尝试复制文件。 查看dll文件,此处调用了CreateProcess``S...
恶意代码分析实战lab1-1/lab1-2/lab1-3/lab1-4
YANG12345_6的博客
10-12 1349
恶意代码分析实战lab1-1lab1-2lab1-3 之前看过一个学长的简历，做过dll注入和恶意代码分析，于是自己也想尝试一下，dll注入只做过两个比较简单的例子，来进军一下恶意代码分析。 lab1-1 文件检测网站：virustotal.com. 不知道这个网站是做什么的，测试一下 上传一个没有问题的文件： 检测结果全是绿的 上传一个有问题的文件： 下面将实验给的文件拖进去分析： lab1-1.dll lab1-1.exe 编译时间： 之前学了PE文件结构，但是学归学，没有应用过还是啥都记不住，
恶意代码分析实战——Lab1-002.exe
4SecNet团队专栏
12-21 565
查看程序，有壳： 第一步：程序脱壳：（UPX壳，直接ESP定律）找到OEP（如下图，直接Dump 转储就好） 第二步开始分析： main函数进去之后： 可以先查询一下调用的API的具体功能： StartServiceCtrlDispatcherA 将服务进程的主线程连接到服务控制管理器，后者使该线程成为调用过程的服务控制调度程序线程 函数原型： BOOL StartServiceCtrlD...
恶意代码分析实战Lab1-2
王陈锋的博客
04-10 842
Lab1-2 分析Lab1.2.exe文件 2. 是否有这个文件被加壳或混淆的任何迹象？ 利用PEID进行查看 普通扫描如下： 普通扫描没有发现加壳 核心扫描如下： 核心扫描发现upx加壳 发现加壳后，要进行脱壳操作，可以利用ollydbg进行手动脱壳，具体操作在另篇博文，博文稍后会发。 或者进行upx自动脱壳 dos命令 图形窗口 ...
恶意代码分析实战Lab1702
ACdream
08-07 386
运行1701的py代码，结果如下： Number of potential Anti-VM instructions: 1 Anti-VM: 100061db 点进去三个引用的地方，发现判断条件都是一样的 拿InstallSB举例 看到提示字符串，说明10003592函数是printf~   在cmd运行：rundll32 Lab17-02.dll,InstallRT ...
精选资源
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
精选资源
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
恶意代码分析实战Lab09-01.exe
weixin_41487541的博客
03-01 948
首先进行查壳，使用peid查询后发现无壳。之后静态分析应该进行查看字符串和导入表，但是这个程序有点大，也都会一步步分析到字符串和导入表，所以这两步跟动静分析一起结合。 IDA打开实验文件，在主函数开始首先看到命令行参数检查： 在402afd处看到对argc的比较，若参数个数为1则进入左侧执行，否则进入右侧。应注意的是在没有手动增加命令行参数时参数个数为1，就是如下效果： 所以若在不加参数情况时，会进入左侧执行：调用sub_401000函数： ...
恶意代码分析与实战lab3
最新发布
qq_74420726的博客
10-13 1191
它集成了 Filemon 和 Regmon 的功能，可以帮助分析和调试系统问题，追踪应用程序的行为，特别是在恶意软件分析中，它是检测和跟踪恶意软件行为的有力工具。Process Explorer 是一个高级的系统任务管理工具，能够显示详细的系统信息，包括正在运行的进程、打开的句柄和加载的 DLL。在一个安全的环境中执行Lab03-03.exe文件中发现的恶意代码，同时使用基础的动态行为分析工具监视它的行为。使用基础的动态行为分析工具来分析在Lab03-04.exe文件中发现的恶意代码。
恶意代码分析实战lab12-4
qq_49243247的博客
07-11 353
恶意代码分实战详细分析
恶意代码分析实战 Lab 1-2 习题笔记
isinstance的博客
08-25 3145
Lab 1-2问题1.将Lab01-02.exe文件上传至http://www.virustotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？解答： 这个传就行了。2.是否有这个文件被加壳或混淆的任何迹象？如果是这样，这些迹象是什么？如果改文件被加壳，请进行脱壳，如果可能的话。解答： 因为这个我是看过一遍书才来看这些题目的，所以，可能刚开始看这本书的同学会有些不理解，没事，慢
恶意代码分析实战 Lab10
baidu_41108490的博客
05-22 2196
lab10-011简单的静态分析少不了,注意到恶意程序把自身伪装成GUI程序,可以用resource hacker看看资源,然后用depends看看函数导入两个库kernel32.dll和ADVAPI32.dll这是服务相关库,发现还有一个start的导出函数,然后还有一个需要关注字符串再看看.sys文件,这是很明显会操作注册表的相关操作,不管从函数还是字符串都能看出这一点,而且函数防火墙相关的注...
恶意代码分析实战 Lab 10-2 习题笔记
isinstance的博客
02-24 2188
Lab 10-1 问题 1.这个程序创建文件了吗？它创建了什么文件？ 解答： 我们依旧先从静态分析开始，这里我们在第一个导入DLL里面注意到的有趣的函数是这个WriteFile，说明这个代码会改变这个文件 然后我们看第二个导入DLL的函数有哪些 这里有几个我们已经见过好几次的函数，OpenSCManagerA是用来打开服务管理器的函数，StartServiceA是用来启动...
恶意代码分析实战 Lab1
baidu_41108490的博客
05-13 8730
Lab 1-11将Lab01-01.exe文件传上www.virustotal.com可以看到文件匹配到已有的反病毒软件特征,部分截图如下:可以看到,大部分匹配到了w32/Ramnit系列病毒特征2使用petool分别查看lab01-01.dll和lab01-01.exe的编译时间,截图如下:第一个是.exe第二个是.dll,可以看到两个文件的编译时间仅仅相差19秒.3看是否加壳最快的当然是用PE...
恶意代码分析实战Lab1
ACdream
01-25 1259
0101分析 这里可以查看到时间戳 如上图，使用PEiD可以侦测壳，发现这个DLL和EXE都是无壳的，VC++6.0编译的 接着使用IDA对代码进行简单的静态分析 先分析DLL： OpenMutex和CreateMutex说明是多客户端 CreateProcess说明在远端的服务器有在本地开启进程的权限 这里可以看到恶意代码服务端的IP地址：127.26.152.
恶意软件分析实战01-分析3个恶意程序
輚至消亡
07-13 2058
Lab1-2: 分析Lab01-02.exe文件: 首先拖入PEID发现该软件加过UPX壳 脱壳, 在拖入PEID后, 发现是VC++写的: 将其拖到VirusTotal上分析。发现有恶意行为: 其导入了如下dll: 推测其可能会与网络相关，并且可能会有修改注册表或者注册服务等行为。 观察其导入的函数, 主要可以归纳: 1. 其创建了线程。并可能创建多个因为有互斥量存在。 2. 其创建了系统服务，可能是要以系统服务方式启动。 3. 打开了一个url...
恶意代码分析实战 Lab21
baidu_41108490的博客
06-10 606
lab21-011lab09-02还记得话是需要改程序名才能正确运行,所以,程序不会发生什么额,我的IDApro识别出来main修改下面的jz位jmp其中r11是之前getmodulname得到的当前程序名,另一个由ocl.exe编码得到,windbg查看位jzm只有一个ecx图中只给出了9个参数的注释,还缺一个commandline参数...
恶意代码分析实战 Lab 10-1 习题笔记
isinstance的博客
01-15 2371
Lab 10-1 一些准备工作 首先就是配置内核调试的环境 我这里用的是VirtualBox而不是书上的VMware 所以这里可能会有一些的不同 书上说的是这样的 与用户态调试不同，内核调试需要一些初始化配置。首先需要配置虚拟操作系统并开启内核调试，然后配置VMware使虚拟机和宿主操作系统之间有一条虚拟化的串口，同时还应该配置宿主操作系统中的WinDbg 我们按照书上的...
恶意代码分析实战实验Lab 1-2 + Lab 1-3 + Lab 1-4
m0_37442062的博客
05-04 1462
Lab 1-2 问题 1.将Lab01-02.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？ 2.是否有这个文件被加壳或混淆的任何迹象？如何是这样，这些迹象是什么？如果该文件被加壳，请进行脱壳，如果可能的话。 PEID 通过EP段为UPX1和什么都没找到可以推断这个样本存在加壳的情况，使用linxerUnpacker工具脱壳，使用壳特征脱壳和OEP侦测脱壳均未成功，说明不是已知壳，点击未知壳脱壳，成功。 对于脱壳后的exe文
恶意代码反虚拟机技术详解与实战分析
本文围绕“恶意代码反虚拟机技术分析”这一主题，深入探讨了攻击者如何利用多种底层机制识别其运行环境是否为虚拟机，并据此决定是否执行恶意行为，从而逃避安全研究人员的动态分析与检测。该技术不仅体现了现代恶意...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值