恶意代码分析实战实验Lab 7-3

最新推荐文章于 2024-10-21 08:27:42 发布

原创

最新推荐文章于 2024-10-21 08:27:42 发布 · 783 阅读

4 ·

CC 4.0 BY-SA版权

Lab 7-3

静态分析strings + IDA pro

查看字符串
exe
在这里插入图片描述

kerne`132`.dll
kernel32.dll
C:\windows\system32\kerne`132`.dll
C:\Windows\System32\Kernel32.dll

WARNING_THIS_WILL_DESTROY_YOUR_MACHINE 本书专制
dll

在这里插入图片描述
exec、sleep、hello
127.26.15.13 恶意代码可能访问该IP地址
SADFHUHF
导入函数
exe重点看kernel32.dll下大量和文件相关的函数

CreateFileA 、 CreateFileMappingA以及MapViewOfFile表明该程序可能打开一个文件，并将其映射到内存中。这个 FindFirstFileA 和FindNextFileA函数组合，可能会搜索文件，并使用CopyFileA 对找到的文件进行复制操作。该程序没有导入Lab 07-03.dll（DLL中的函数）、LoadLibrary或者GetProcAddress，暗示它可能没有在运行时加载那个DLL。
dll文件的导入函数
重点看kernel32.dll
在这里插入图片描述
GetProcessA函数，可能会创建另一个进程。

分析EXE

.text:00401440                 mov     eax, [esp+argc]
.text:00401444                 sub     esp, 44h
.text:00401447                 cmp     eax, 2#①
.text:0040144A                 push    ebx
.text:0040144B                 push    ebp
.text:0040144C                 push    esi
.text:0040144D                 push    edi
.text:0040144E                 jnz     loc_401813#②
.text:00401454                 mov     eax, [esp+54h<