NetSec2019 20165327 Exp4 恶意代码分析
一、实践目标
1、监控你自己系统的运行状态，看有没有可疑的程序在运行。
2、分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
3、假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。
二、实践内容概述
1、系统运行监控
①使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果。
②安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
2、分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
①读取、添加、删除了哪些注册表项
②读取、添加、删除了哪些文件
③连接了哪些外部IP，传输了什么数据
三、基础问题回答
1、如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
①使用windows自带的schtasks指令设置一个计划任务，发现网络连接异常
②使用Sysmon，编写配置文件，记录有关的系统日志
③使用Process Explorer工具，监视进程执行情况。
④使用Process Monitor工具，监视文件系统、注册表、进程/线程的活动。
2、如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
①使用systracer工具分析恶意软件，查看其对注册表和文件的修改。
②使用Wireshark进行抓包分析，监视其与主机进行的通信过程。
③使用Process Explorer工具或Process Monitor工具，监视文件系统、注册表、进程/线程的活动
四、实践步骤