恶意代码分析实战Lab1201

最新推荐文章于 2024-10-21 08:27:42 发布
最新推荐文章于 2024-10-21 08:27:42 发布
阅读量297 收藏 1
点赞数
CC 4.0 BY-SA版权
分类专栏： 恶意代码分析实战
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/kevin66654/article/details/80407854
本文通过使用procexp工具分析了explorer.exe进程中的可疑DLL注入现象，并发现该DLL导致每分钟弹窗一次的问题。通过重启相关进程成功移除了恶意DLL。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

分析exe：

先看看psapi.dll这个是不是系统dll：系统进程状态支持模块

这里可能是对explorer.exe的监听

动态运行：

每割一段时间会弹框

在dll中发现：


每隔一分钟会弹框一次

用procexp分析explorer.exe，发现是个DLL注入

RESTART这个进程一下，就可以注入的dll删掉了

直接重启电脑也行

说明这个恶意程序是个一次性的

恶意代码分析实战lab12-4
qq_49243247的博客
07-11 326
恶意代码分实战详细分析
恶意代码分析实战 Lab10
baidu_41108490的博客
05-22 2173
lab10-011简单的静态分析少不了,注意到恶意程序把自身伪装成GUI程序,可以用resource hacker看看资源,然后用depends看看函数导入两个库kernel32.dll和ADVAPI32.dll这是服务相关库,发现还有一个start的导出函数,然后还有一个需要关注字符串再看看.sys文件,这是很明显会操作注册表的相关操作,不管从函数还是字符串都能看出这一点,而且函数防火墙相关的注...
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战
博文视点（北京）官方博客
05-28 8048
安全技术大系 恶意代码分析实战（最权威的恶意代码分析指南，理论实践分析并重，业内人手一册的宝典） 【美】Michael Sikorski（迈克尔.斯科尔斯基）, Andrew Honig（安德鲁.哈尼克）著   诸葛建伟 姜辉 张光凯 译 ISBN 978-7-121-22468-3 2014年4月出版 定价：128.00元 732页 16开 编辑推荐 不管你是否有恶意代码
恶意代码分析实战 5 分析恶意Windows程序
农夫果园好好喝的博客
01-24 1342
本次实验分析lab07-01.exe,lab07-02.exe,先来看lab07-01.exe的问题首先，查看导入函数。OpenSCManagerA和CreateServiceA函数暗示着这个恶意代码可能创建一个服务，来保证它在系统被重启后运行，StartServiceCtrlDispatcherA导入函数提示了这个文件是一个服务。调用了StartServiceCtrlDispatcherA函数，这个函数被程序用来实现一个服务，并且它通常立立即被调用。
恶意代码分析实战Lab1
weixin_47038938的博客
01-25 6619
Lab1-1恶意代码分析实战恶意代码样本下载Lab1-1二、使用步骤1.引入库2.读入数据总结 恶意代码分析实战 Michael Sikorski Andrew Honig 著 诸葛建伟 姜辉 张光凯 译 恶意代码样本下载 前言-先决条件-恶意代码样本下载链接： https://practicalmalwareanalysis.com/ 1.点击Labs 2.点击Download NOTE: We provide a self-extracting archive and an encrypted
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析
妙蛙种子吃了都会妙妙秒的妙脆角的博客
12-09 2085
恶意代码分析实战——Lab06-01.exe~Lab06-04.exe动态分析 1.实验目的 分析Lab06-01.exe~Lab06-04.exe 2.实验环境（硬件、软件） Winxp虚拟机： 硬件：处理器Intel® Core™ i5-10210U CPU @ 1.60GHz 2.11 GHz 软件：32位操作系统 3.实验步骤 (一)Lab06-01.exe 1、由main函数调用的唯一子过程中发现的主要代码结构是什么？ 先声明了一个局部变量var_4，然后调用了InternetGetConn
恶意代码分析实战课后练习题
11-04
在恶意代码分析领域，实战经验至关重要。"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员...
恶意代码分析实战 Lab9
baidu_41108490的博客
05-20 2010
lab09-011这个程序就是第三章lab03-04那个会删除自身的程序,之前我们没有分析完,现在继续想要解决的是正确安装程序,因为他会自我删除,只有避免了他的自我删除我们才能继续分析他的功能IDApro打开程序,程序要求参数要大于1,这就说明我们需要输入lab09-01.exe "一些参数"这样的方式才能启动程序,为什么呢,因为如果不跳转,那么下面不管是在jz处是否跳转结果都会跳转到下面这个地方...
恶意样本分析实战——SmokeLoader
weixin_51409218的博客
08-29 534
恶意样本分析实战——SmokeLoader
恶意代码分析实战实验Lab 1-2 + Lab 1-3 + Lab 1-4
m0_37442062的博客
05-04 1420
Lab 1-2 问题 1.将Lab01-02.exe文件上传至http://www.VirusTotal.com/进行分析并查看报告。文件匹配到了已有的反病毒软件特征吗？ 2.是否有这个文件被加壳或混淆的任何迹象？如何是这样，这些迹象是什么？如果该文件被加壳，请进行脱壳，如果可能的话。 PEID 通过EP段为UPX1和什么都没找到可以推断这个样本存在加壳的情况，使用linxerUnpacker工具脱壳，使用壳特征脱壳和OEP侦测脱壳均未成功，说明不是已知壳，点击未知壳脱壳，成功。 对于脱壳后的exe文
恶意代码分析实战 Lab13
baidu_41108490的博客
06-01 1399
lab13-0112首先调用sub_401300函数程序是一系列的资源操作函数,目的是找到资源存到内存在调用401190解密,可以到,是在和3bh进行异或解密,最后把数据地址传回我们用resourcehaacker看一下把它保存二进制文件再用winhex打开,再把数据异或3bh,得到一个url接着看程序,调用WSAStartup,wsa启动命令然后两个sleep(分别睡了500ms和30000ms...
恶意代码分析实战3-2
Yale的博客
09-19 553
使用动态分析基础技术来分析lab03-02.exe Q1怎样才能让这个恶意代码自行安装 Q2在安装之后，如何让恶意代码运行起来 Q3怎么能找到这个恶意代码是在哪个进程下运行的 Q4在procmon工具中设置什么样的过滤器，才能收集这个恶意代码的信息 Q5这个恶意代码在主机上的感染迹象特征是什么 Q6这个恶意代码是否存在一些有用的网络特征码 依次分析 首先静态分析 首先peview载入分析 ​ 分别来看看导入函数导出函数 先看导出函数 ​ 从导出函数servicemain可以知道，这次的文件需要安装成一个服务
恶意代码分析实战 Lab16-02
wangtiankuo的博客
08-30 764
知识点： TLS回调 TLS回调被用来在程序入口点执行之前运行代码。若可执行程序的PE头部包含一个.tls段，则可能此程序使用了反调试技术。 分析报告 1． 样本概况 样本名称Lab16-02.exe，编译器为Microsoft Visual C++ v6.0。 1.1样本信息 样本名称：Lab16-02.exe MD5值： E88B0D6398970E74DE1DE457B971
《恶意代码分析实战》实验——Labs-15
草草君
04-21 467
《恶意代码分析实战》实验——Labs-15 记录《恶意代码分析实战》中的实验，相关链接： 电子书的下载 标题《恶意代码分析实战》实验——Labs-15Labs-15-01实验静态分析：IDA分析问题Labs-15-02实验静态分析：IDA分析问题Labs-15-03实验静态分析：IDA分析问题 Labs-15-01实验 Lab15-01.exe 静态分析： 查壳——无壳 查看输入表——MSVCRT.dll Strings分析——出现比较有意思的字符串 IDA分析 在main函数中发现xor
《恶意代码分析实战》实验——Labs-14
草草君
04-21 798
《恶意代码分析实战》实验——Labs-14 记录《恶意代码分析实战》中的实验，相关链接： 电子书的下载 标题《恶意代码分析实战》实验——Labs-14Labs-14-01实验静态分析：IDA分析动态分析搭建HTTP服务进行动态分析问题Labs-14-02实验静态分析：IDA分析动态分析问题Labs-14-03实验静态分析：IDA分析问题 Labs-14-01实验 样本：Lab14-01.exe 静态分析： 查壳——无壳 查看输入表—— Kernel32.dll：睡眠，创建终止进程，加载库文件等函数
恶意代码分析与实战lab5
qq_74420726的博客
10-21 944
实验目的 （1）完成教材上lab5的题目； （2）在样本分析结果的基础上，编写样本的Yara检测规则。 （3）尝试编写IDA Python脚本来辅助样本分析。 实验原理 IDA Python 是 IDA Pro 的强大脚本接口，它允许我们通过 Python 语言与 IDA 的各种分析功能进行交互。IDA Python 提供了丰富的 API 和库来辅助逆向工程和二进制分析。以下是一些常用的 IDA Python 特有函数和库： 1. idc 模块 idc 模块包含了 IDA 中很多通用的低层次函数，例如操作字
学习笔记-第十四章 恶意代码分析实战
Yes_butter的博客
03-26 1661
第十四章 恶意代码的网络特征 1.网络应对措施。 网络行为的基本属性包括IP地址，TCP端口，以及流量内容等，网络和安全 设备可以利用它们，来提供网络应对措施。根据IP地址和端口，防火墙和路由器可以限制对 网络的访问。 入侵检测系统，入侵防御系统，以及电子邮件和web代理等其他安全应用。 作为常用术语的 入侵检测系统已经过时了。特征不再仅仅用在入侵检测方面，还可以用来检测网络扫描，服 务枚举与分...
恶意代码分析实战 6 OllyDbg
农夫果园好好喝的博客
01-24 2152
首先，进行静态分析，使用strings。HTTP/1.0GETSLEEPcmd.exe>> NUL这里有一些东西我们比较在意，我们可以看到该程序对注册表和环境变量进行了一些操作，并且具有网络特征；出现了cmd.exe可能具有远程shell的功能；创建了文件，可能下载了什么东西。接下来进行动态分析，将程序拖入IDA和OllyDbg中，在IDA中查找该函数的起点，然后在OllyDbg中定位到起点，进行分析。
xss-lab 通关实战
最新发布
01-02
### 富文本XSS漏洞的实战解决方案 #### 了解富文本XSS漏洞的本质 富文本XSS漏洞是Web应用程序中最难防御的一类跨站脚本攻击形式之一。当应用允许用户输入HTML内容而不加严格控制时，恶意用户可以注入JavaScript代码...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值