恶意代码分析实战20-1

最新推荐文章于 2021-09-20 16:40:41 发布
最新推荐文章于 2021-09-20 16:40:41 发布
阅读量287 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： malware
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/yalecaltech/article/details/117363174

本次实验我们将会分析lab20-1,lab20-2文件。先来看看要求解答的问题
Lab20-1需要回答的问题如下
Q1.在0x401040处的函数采用了什么参数?
Q2.哪个URL被用来调用URLDownloadToFile?
Q3.这个程序做了什么事情?
Lab20-2需要回答的问题如下：
Q1.在这个程序中，你可以从有趣的字符串中了解到什么?
Q2.导入函数表告诉你关于这个程序的什么信息?
Q3.在0x4011D9处创建对象的目的是什么?它有什么虚函数吗?
Q4.哪个函数可能被在0x401349处的call [edx]指令 调用?
Q5.如何简易地搭建这个恶意代码所预料的服务器，不用连接到互联网，就能完整地分析这个恶意代码呢?
Q6.这个程序的目的是什么?
Q7.在这个程序中实现虚函数调用的目的是什么?

在实验任务一当中我们来分析lab20-1

首先载入IDA
在这里插入图片描述

第一个call是在401008，是一个对new操作符的调用，表明它正在创建一个对象
接着通过mov指令，对象的引用被赋给var_8,var_4
在401019处，var_4赋给了ecx，说明它将被作为函数调用的this指针传递进去。
指向URL http://www.practicalmalwareanalysis.com的指针，随后被存储在对象的开头位置，之后调用sub_401040
在这里插入图片描述

在401044处看到ecx中的this指针被访问，并赋给var_4，接着是其他参数入栈，之后就是调用URLDownloadToFile。为了获得将要使用的url参数，this指针在401050处被读取（var_4赋给eax），随后在401053处访问了存储在对象中的第一个数据元素（在main中可知第一个元素就是url字符串），并将其压入401055处的栈中（将URl字符串压入栈中）
Q1.在0x401040处的函数采用了什么参数?
A1.在0x401040地址处的函数并不带任何参数，但它在ECX中传递了一个对象索引，含义为this指针
Q2.哪个URL被用来调用URLDownloadToFile?
A2.对URLDownloadToFile函数的调用使用http://www.practicalmalwareanalysis.com/cpp.html 作为URL参数值。
Q3.这个程序做了什么事情?
A3.这个程序从远程服务器下载文件，并把它存储到本地系统的C:\tempdownload.exe中。

接下来我们开始分析lab20-2
Peview载入
在这里插入图片描述

这里看到了home ftp client,ftp的一个网址，这表明这个程序可能是一个ftp客户端程序
Q1.在这个程序中，你可以从有趣的字符串中了解到什么?
A1.最有趣的字符串是ftp. practicalmalwareanalysis.com和Home ftp client, 这表明这个程序很可能是FTP客户端软件。
查看其导入函数
在这里插入图片描述

FindNextFile，FindFirstFile表明可能会搜索系统上的文件
在这里插入图片描述

一些ftp相关的函数更增强了我们的猜测
Q2.导入函数表告诉你关于这个程序的什么信息?
A2. 这一程序导入了函数FindFirstFile和FindNextFile, 这表明这个程序很可能会搜索受害主机的文件系统。而导入了函数InternetOpen、InternetConnect、FtpSetCurrentDirectory与FtpPutFile，这告诉我们这一恶意代码会上传受害主机的文件到一个远程FTP服
接下来载入IDA
在这里插入图片描述

401521处调用WSAStartup初始化win32网络功能
401533调用gethostname获取主机名，获取的结果存在name变量，这里将其重命名为local_hostname
接着将C:\*压栈，调用了sub_401000，跟入
看到了循环结构
在循环之前
在这里插入图片描述

看到了FIndFirstFile
在循环结构里面
在这里插入图片描述

有FindNextFile
加之传入的参数
我们可知这是在搜索C盘下的文件
在循环里看到很多字符串操作函数
在这里插入图片描述

那么我们分析下程序在搜索什么
在这里插入图片描述

strncmp将操纵字符串与.doc比较，如果找到了doc后缀的文件，则往左边走
在这里插入图片描述

4011db调用new操作符来创建一个对象，然后开始初始化对象，对象存储在var_15
4011f2到401204将虚函数表写入对象的起始偏移处
因为new操作符创建对象之后off_4060dc马上被写入到对象中，所以我们知道这是一个虚函数表
双击查看off_4060dc
在这里插入图片描述

可以看到它保存了指向sub_401440地址的函数指针
我们给sub_401440重命名为docObject_Func1
doc文件对象创建之后
在这里插入图片描述

跳转到4011f2，然后执行到loc_401222,然后跳到loc_40132f

回到sub_401000
在这里插入图片描述

如果没有找到doc文件，则往右边走，继续查看文件是否已pdf后缀结束。如果是的话，往左边走
在这里插入图片描述

同样通过new创建一个不同类型的对象，在off_4060D8有一个不同的虚函数表
在这里插入图片描述

给sub_401380重命名为docObject_Func2
pdf文件对象被创建之后来到4012b1
在这里插入图片描述

然后执行到40132f，和doc对象被创建之后所执行的位置是一样的

回到sub_401000，如果不是pdf也不是doc，则会来到4012da
在这里插入图片描述

会创建一个其他类型的对象来表示所有其他的文件类型
给off_406030处的
在这里插入图片描述

重命名为otherfunc
最后也会来到40132f
在这里插入图片描述

可以看到会引用存储在var_148变量中的对象，调用它在虚函数表中的第一个函数指针
这里注意一下，0x401349处的call指令，待会儿回到第4个问题会用到

我们先来看pdf对象调用的函数。
也就是4060d8处的函数，即Object_Func2
在这里插入图片描述

调用InternertOpen函数初始化互联网连接，然后InternetConnect建立到ftp.pracitcalmalware.com的FTP连接
之后调用FtpSetCurrentDirectory改变ftp当前路径到pdfs目录，并开始上传文件到远程服务器，将文件名用主机名和序号填充成%s-%d.pdf的格式
再查看doc的
在这里插入图片描述

双击跟入
在这里插入图片描述

可以看到基本上和pdf的处理差不多，不过这里是改变ftp当前路径到docs目录，上传doc文件到远程服务器

再来看看4060e0的otherfunc
在这里插入图片描述

这个函数没做什么

所以我们知道恶意代码只是上传doc和pdf文件
Q3.在0x4011D9处创建对象的目的是什么?它有什么虚函数吗?
A3.在0x00401ID9地址创建的对象是一个 .doc文件。这个对象在偏移0x00401440 地址处有一个虚函数，它将把文件上传至远程FTP服务器。
Q4.哪个函数可能被在0x401349处的call指令调用?
A4.在0x00401349处的虚函数调用将调用在0x00401380、0x00401440 的一个虚函数。
Q6.这个程序的目的是什么?
A6.这个程序会搜索受害主机的硬盘驱动器,并上传所有doc和.pdf后缀的文件到远程FTP服务器上。
而这里为什么要用虚函数呢？因为使用虚函数可以使这段代码修改或扩展时更加容易，在需要添加对不同文件类型支持时，只需要简单地实现一个新对象并修改对象创建后的代码即可
Q7.在这个程序中实现虚函数调用的目的是什么?
A7.实现虚拟函数调用的目的是让代码对不同文件类型执行不同的上传函数

下载一个ftp服务器，启动
在这里插入图片描述

注意给其上传的权限，上图中设置了访问目录为c盘根目录
在c盘根目录创建两个空的文件夹，分别为docs,pdfs，可以再新建两个文件，注意后缀名pdf和doc
在这里插入图片描述

在启动apatedns(需要安装.net环境才能运行)，他可以将响应DNS请求设置为任何你指定的IP地址。
在这里插入图片描述

我们如下所示，在current gateway设置为127.0.0.1,然后启动20-2.exe
在这里插入图片描述

如上所示，看到会请求ftp.malwareanalysis.com
此时查看c盘根目录下的docs文件夹
在这里插入图片描述

以及pdfs文件夹
在这里插入图片描述

其文件名也印证了我们前面在IDA中的分析。
Q5.如何简易地搭建这个恶意代码所预料的服务器，不用连接到互联网，就能完整地分析这个恶意代码呢?
A5.这一恶意代码会使用高层API函数连接到一个远程的FTP服务器，我们可以下载并建立一个本地FTP服务器，并将DNS请求重定向至这一服务器，以充分分析该恶意代码。

参考：
1.《恶意代码分析实战》

恶意代码分析实战 Lab20
baidu_41108490的博客
06-10 507
lab20-011sub_401040函数使用,参数this,用ecx来传递这个参数在sub_401040函数内部,也可以证实这点,而且URL就是上面的http://www.practicalmalwareanalysis.com/cpp.html可以看到程序非常简单,就在上面那个URL下载文件到c:\tempdownload.exeLab20-021注意字符串关键函数是sub_401000这个函...
Practical Malware Analysis
09-26
Malware analysis is big business, and attacks can cost a company dearly. When malware breaches your defenses, you need to act quickly to cure current infections and prevent future ones from occurring. For those who want to stay ahead of the latest malware, Practical Malware Analysis will teach you the tools and techniques used by professional analysts. With this book as your guide, you'll be able to safely analyze, debug, and disassemble any malicious software that comes your way. You'll learn how to: Set up a safe virtual environment to analyze malware Quickly extract network signatures and host-based indicators Use key analysis tools like IDA Pro, OllyDbg, and WinDbg Overcome malware tricks like obfuscation, anti-disassembly, anti-debugging, and anti-virtual machine techniques Use your newfound knowledge of Windows internals for malware analysis Develop a methodology for unpacking malware and get practical experience with five of the most popular packers Analyze special cases of malware with shellcode, C++, and 64-bit code Hands-on labs throughout the book challenge you to practice and synthesize your skills as you dissect real malware samples, and pages of detailed dissections offer an over-the-shoulder look at how the pros do it. You'll learn how to crack open malware to see how it really works, determine what damage it has done, thoroughly clean your network, and ensure that the malware never comes back. Malware analysis is a cat-and-mouse game with rules that are constantly changing, so make sure you have the fundamentals. Whether you're tasked with securing one network or a thousand networks, or you're making a living as a malware analyst, you'll find what you need to succeed in Practical Malware Analysis.
恶意代码分析实战 英文原版pdf
12-28
恶意代码分析实战，详细介绍了网络安全基本技术。包括：静态分析、动态分析、反汇编、IDA分析等
Practical Malware Analysis 无水印pdf
09-25
Practical Malware Analysis 英文无水印pdf pdf所有页面使用FoxitReader和PDF-XChangeViewer测试都可以打开 本资源转载自网络，如有侵权，请联系上传者或csdn删除 本资源转载自网络，如有侵权，请联系上传者或csdn删除
PracticalMalwareAnalysis.pdf 英文原版
08-20
Practical Malware Analysis
恶意代码分析实战
09-20
本书是一本内容全面的恶意代码分析技术指南，其内容兼顾理论，重在实践，从不同方面为读者讲解恶意代码分析的实用技术方法。, 本书分为21章，覆盖恶意代码行为、恶意代码静态分析方法、恶意代码动态分析方法、恶意代码对抗与反对抗方法等，并包含了shellcode 分析，C++恶意代码分析，以及64 位恶意代码分析方法的介绍。本书多个章节后面都配有实验并配有实验的详细讲解与分析。通过每章的介绍及章后的实验，本书一步一个台阶地帮助初学者从零开始建立起恶意代码分析的基本技能。, 本书获得业界的一致好评，IDA Pro 的作者Ilfak Guilfanov 这样评价本书：“一本恶意代码分析的实践入门指南，我把这本书推荐给所有希望解剖Windows 恶意代码的读者”。
《恶意代码分析实战》官方实验样本
01-13
学习恶意代码分析，从官方下载的《恶意代码分析实战》课后实验样本。
恶意代码分析实战课，价值399元-10.5G课程网盘链接提取码下载.txt
最新发布
04-17
春秋学院的恶意代码分析实战课，价值399元。威胁计算机系统安全的领域越来越广泛，其中以恶意代码最为严重。而随着计算机系统安全攻击与防御技术的不断较量，恶意代码的攻击手法、攻击形式也越来越趋于隐秘化、复杂...
恶意代码分析实战课后练习题
11-04
"恶意代码分析实战课后练习题"是一份针对这一主题的专业训练材料，旨在帮助学习者加深对恶意代码理解并提升分析技能。本资料结合MATLAB的学习，将理论与实践相结合，为学员提供一个深入研究恶意软件行为的平台。 ...
恶意代码分析实战（带目录）
10-05
本书是一本内容全面的恶意代码分析技术指南，其内容兼顾理论，重在实践，从不同方面为读者讲解恶意代码分析的实用技术方法。 本书分为21章，覆盖恶意代码行为、恶意代码静态分析方法、恶意代码动态分析方法、恶意代码对抗与反对抗方法等，并包含了shellcode 分析，C++恶意代码分析，以及64 位恶意代码分析方法的介绍。本书多个章节后面都配有实验并配有实验的详细讲解与分析。通过每章的介绍及章后的实验，本书一步一个台阶地帮助初学者从零开始建立起恶意代码分析的基本技能。 本书获得业界的一致好评，IDA Pro 的作者Ilfak Guilfanov 这样评价本书：“一本恶意代码分析的实践入门指南，我把这本书推荐给所有希望解剖Windows 恶意代码的读者”。
PRACTICAL MALWARE ANALYSIS
02-08
2012 , publisher: William Pollock T h e H a n d s - O n G u i d e t o D i s s e c t i n g M a l i c i o u s S o f t w a r e by Michael Sikorski and Andrew Honig
恶意代码分析实战.part1
08-14
本书一方面从内容上更侧重于恶意代码分析技术与实践方法，而非各类恶意代码的原理技术与检测对抗方法；另一方面更加侧重实用性，能够引导读者们在实际恶意代码样本分析过程中使用书籍中所介绍的各种分析技术、工具和技巧。 共两部分，此为part1
恶意代码分析实战 课后练习实验文件
09-07
恶意代码分析实战 课后练习配套完整文件。
恶意代码分析实战 [（美）斯科尔斯基，（美）哈尼克著][电子工业出版社][2014.04][704页].part2.rar
09-12
因为是在淘宝买来的，所以要分有点高，希望谅解，有两个压缩包，这是第二个，第一个在我资源里面找。下下来一起解压，完整版的，不是样章，放心下载
恶意代码分析实战19-03
Yale的博客
09-20 491
本次实验我们将会分析lab19-03相关文件。先来看看要求解答的问题 Q1.这个PDF中使用了什么漏洞? Q2.这段shellcode是如何编码的? Q3.这段shellcode导入了哪些函数? Q4.这段shellcode在文件系统上留下了什么迹象? Q5.这段shellcode做了什么? 分析文件Lab19-03.pdf以及lab19-03_sc.bin 首先我们切换到kali进行分析 先使用pdfid检查下 注意到有js,javascript，结合题目的问题，那么可能这个pdf文件就是利用JavaS
恶意代码分析实战20-2
Yale的博客
05-28 176
本次实验我们将会分析lab20-03文件。先来看看要求解答的问题 Q1.你可以在这个程序中得到什么有意思的字符串? Q2.导入函数表告诉你关于这个程序的什么信息? Q3.在0x4036F0处，存在一个以字符串Config error作为输入的函数调用，其后跟着一些指令，然后是一个对CxxThrowException的调用。除这个字符串外，这个函数还用到其他参数了吗?这个函数返回了什么?从这个函数被使用的上下文中，你可以得到哪些信息? Q4.在0x4025C8处的switch表中的6个项都做了什么? Q5.这
恶意代码分析实战14-1
Yale的博客
05-30 607
本次实验我们将会分析lab14-01.exe文件。先来看看要求解答的问题 Q1.恶意代码使用了哪些网络库?它们的优势是什么? Q2.用于构建网络信令的信息来源是什么，什么样的条件会引起信令的改变? Q3.为什么攻击者可能对嵌入在网络信令中的信息感兴趣? Q4.恶意代码是否使用了标准的Base64编码?如果不是，编码哪里不一样? Q5.恶意代码的主要目的是什么? Q6.使用网络特征可能有效探测到恶意代码通信中的什么元素? Q7.分析者尝试为这个恶意代码开发一个特征时，可能会犯什么错误? Q8.哪些特征集可能检
深入浅出实战攻防恶意PDF文档
chongdede的专栏
07-06 928
<br />转载自 http://netsecurity.51cto.com/art/200907/138668.htm<br /> <br />随着恶意PDF文件日益增多，人们对这种文档的恶意代码分析技术也越来越感兴趣。本文将教您如何分析一种特殊类型的恶意PDF文件：它们可以利用内嵌JavaScript解释器的安全漏洞。通过阅读本文，还有助于分析其他类型的恶意PDF文件，如利用PDF解析器内的安全漏洞的情形。虽然几乎所有的恶意PDF文档的攻击目标都是Windows操作系统，但是这里介绍的PDF语言是独立于
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值