本文通过实际案例详细分析了针对Windows系统的四个恶意程序，包括malicious-01.exe、malicious-02.dll、malicious-03.exe和malicious-04.exe。通过工具如PEView、strings.exe、ApateDNS和Process Monitor揭示了恶意程序的启动机制、注册表篡改、网络通信及键盘监控等行为。分析过程中，展示了如何使用虚拟机、DNS拦截和端口监听等技术来理解恶意程序的行为模式。
本节看看如何将前面讲述的各种工具和理论应用到实践中来。我们将拿几个专门针对windows系统开发的恶意程序作为实例，用前面讲到的工具和理论具体分析其设计原理并了解它所要实现的目的。
所要分析的二进制可执行文件以及所有用到的工具可从如下链接下载链接: https://pan.baidu.com/s/1QBwGxCGjA7kYd4HchSTlWg 密码: 09g7
首先我们分析第一个恶意程序，也就是malicious-01.exe。面对exe程序时，首先要做的就是将它丢到PEView里先看看它的大概信息，打开它后我们看到如下内容：
可以看到它的header部分信息非常少，这是程序经过UPX之类程序进行打包的重要特征。点击SECTION.txt下面的IMPORT_Address_Table可以看到它导入了kernel32.dll，接下来用strings.exe 扫一下它包含的字符串看看有没有什么有价值的信息，执行后情况如下：
此时看到几个提供关键线索的字符串，其中SOFTWARE\Class\http\shell\open\commandV这类字符串应该是注册表路径，特别是SOFTWARE\Micro
订阅专栏 解锁全文
扫一扫
1598
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
