一、实验目标
- 监控你自己系统的运行状态，看有没有可疑的程序在运行。
- 分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
- 假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质
二、实验内容
2.1系统运行监控
（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
参考：schtask与sysmon应用指导
实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。
2.2恶意软件分析
分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
（3）读取、添加、删除了哪些注册表项
（4）读取、添加、删除了哪些文件
（5）连接了哪些外部IP，传输了什么数据（抓包分析）
三、实验过程
1.使用schtasks指令监控系统（使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果）
- step1.创建计划任务netstat2318
schtasks /create /TN netstat2318 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"
- step2.在C盘中创建一个netstat2318.bat脚本文件，写入一下内容：
date /t >> c:\netstat2318.txt time /t >> c:\netstat2318.txt netstat -bn >> c:\netstat2318.txt
- step3.打开任务管理器，查看新创建的任务
- step4.双击打开这个任务，点击"操作"，进行编辑
- step５.可以在C盘的netstat２３１８.txt文件中查看到本机在该时间段内的联网记录：
- step６. 导入Ｅｘｃｅｌ中，并使其可视化
- step７. 经过分析，未发现异常
２．使用sysmon工具
step１．下载安装sysinternals
step２．创建配置文件sysmon2318.xml
<Sysmon schemaversion="4.20">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<ProcessCreate onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
</ProcessCreate>
<FileCreateTime onmatch="exclude" >
<Image condition="end with">chrome.exe</Image>
</FileCreateTime>
<NetworkConnect onmatch="exclude">
<Image condition="end with">wps.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<NetworkConnect onmatch="include">
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>step３．输入命令，完成配置
Sysmon -c sysmon2318.xml
step４.运行之前生成好的后门
step5.打开【事件查看器】，在左侧控制台树按照【事件查看器】->【应用程序和服务日志】->【Microsoft】->【Windows】依次展开，找到【Sysmon】下的【Operational】并双击打开
2.恶意软件分析
2.1使用VirusScan分析恶意软件（静态）
step1.把生成的恶意代码放在irusScan进行分析
step2.查看其病毒类型和查找相关病毒
2.2使用Process Explorer分析恶意软件（动态）
step1.运行后门程序回连，使用Explorer，可知该程序是在命令行中运行
step2，我们可以分析出回连地址是192.168.99.100使用的端口是1818
step3.查看该进程使用的CPU，虚拟内存空间、物理内存空间、I/O
四、基础问题
1、如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
使用schtasks指令监控系统（使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。2、如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
1.上传可疑文件使用VirusScan分析
2.使用使用wireshark进行抓包和分析
3，使用Process Explorer工具，监视文件系统、注册表、进程/线程的活动五、实验总结与体会
本次实验没有太多动手的地方，主要是分析恶意代码。通过这次实验，我们可以通过软件去分析我们的电脑做了些什么，它趁我们不注意的时候运行了哪些进程。我们可以以周期性的运行一个任务，查看有哪些进程联网了以及连接的外部IP等。在本次实验我们调换了身份，和以往不同的是我们从攻击者变成了防御者，这使我对恶意代码的理解更近了一步。