首页 > 其他分享 >20222405 2024-2025-1 《网络与系统攻防技术》实验四实验报告

20222405 2024-2025-1 《网络与系统攻防技术》实验四实验报告

时间:2024-11-05 18:31:39浏览次数:3  
标签:后门 文件 exe 恶意代码 程序 2024 2025 134.191 20222405

1.实验内容

(1)恶意代码文件类型标识、脱壳与字符串提取
(2)使用IDA Pro静态或动态分析crackme1.exe与crakeme2.exe,寻找特定输入,使其能够输出成功信息。
(3)分析一个自制恶意代码样本rada,并撰写报告,回答问题
(4)取证分析实践

2.实验过程

2.1 恶意代码文件类型标识、脱壳与字符串提取

(1)使用文件格式和类型识别工具,给出rada恶意代码样本的文件格式、运行平台和加壳工具

先下载目的文件RaDa.exe,然后对文件进行初步分析。

输入命令file RaDa.exe

如图所示,关于RaDa.exe文件的内容可以分为四个部分。PE32表明这是一个32位的可执行文件格式,意味着它能够在32位操作系统上运行。GUI表示该文件具备图形用户界面,使得用户能够通过图形化方式进行交互。Intel 80386指明该文件设计用于Intel 80386及其兼容处理器,显示了其处理器架构的要求。for MS Windows指的是该程序专为Windows操作系统开发。

再使用PEiD工具打开RaDa.exe,可以看到其基本信息

可以看到加壳类型是upx,还有一些其他的信息

(2)使用超级巡警脱壳机等脱壳软件,对rada恶意代码样本进行脱壳处理

使用命令strings rada.exe查看RaDa.exe文件中的可打印字符串,但是由于加壳导致结果都是乱码

用超级巡警脱壳机软件对RaDa.exe进行脱壳操作,脱壳后保存文件rada_unpacked.exe到原目录

再重新使用strings rada_unpacked.exe指令查看脱壳后文件的可打印字符串

虽然前面的一些内容还是乱码,但是后面的乱码部分已经变成可读的内容了

寻找了一下没有找到作者信息,只找到了一些函数名

(3)使用字符串提取工具,对脱壳后的rada恶意代码样本进行分析,从中发现rada恶意代码的编写作者是谁?

使用Process Explorer工具打开RaDa_unpacked.exe文件

找到进程RaDa_unpacked.exe

右键选择Properties,进入Strings界面

成功找到作者信息及编写时间

也可使用IDA Pro打开RaDa_unpacked.exe

打开Strings界面

也可以成功找到作者信息

2.2 使用IDA Pro静态或动态分析crackme1.exe与crakeme2.exe,寻找特定输入,使其能够输出成功信息

下载crackme1.exe和crackme2.exe

先用file指令看一下文件信息

file crackme1.exe

console表示该文件是一个控制台应用程序,即运行时在命令行界面中进行输入和输出

使用命令行执行crackme1.exe并对参数个数进行猜测,观察程序输出

可以看出程序应该需要1个参数

使用IDA Pro打开crackme1.exe

打开Strings界面查看字符串

出现了两个没见过的字符串“I know the secret”和“You know how to speak to programs, Mr.Reverse-Engineer”

猜测一个应该是正确的口令,另一个是正确的回显

输入试一下

根据结果猜测程序的正确输入为“I know the secret”,正确输出为“You know how to speak to programs, Mr.Reverse-Engineer”。

接下来验证一下猜想

在IDA界面的view中找到graphs并打开Function Call查看函数调用图

找到输出函数所在位置

找到sub_401280的函数流程图

分析一下图中流程图可以知道sub_401280先判断参数个数,若不是参数个数不正确则输出"I think you are missing something.",若参数个数正确且参数不为"I know the secret"则输出"Pardon?What did you say?",若参数个数正确且参数为"I know the secret"则输出"You know how to speak to programs,Mr.Reverse—Engineer",所以我们的猜测正确

接下来分析crackme2.exe

先用IDA Pro打开crackme2.exe

查看Strings界面

猜测口令和输出就在这些字符串里

打开Function Call进行分析

这里也调用了printf函数

打开流程图进行分析

可以看到crackme2.exe和crackme1.exe总体上差不多,只是在crackme1.exe的基础上增加了对于程序名的判断,只有当程序名为crackmeplease.exe的时候才能被执行,否则就会提示“I have an identity problem.”。最后的输出变为"We have a little secret:Chocolate"

先输入命令copy crackme2.exe crackplease.exe复制一份名为crackplease.exe的文件

再输入命令crackplease.exe “I know the secret”即可得到正确输出

2.3 分析一个自制恶意代码样本rada

(1)提供对这个二进制文件的摘要,包括可以帮助识别同一样本的基本信息

输入命令md5sum rada.exe得到rada文件的摘要值

再输入命令file rada.exe查看文件信息

以上可以作为识别同一样本的信息

(2)找出并解释这个二进制文件的目的

打开Process Explorer并运行RaDa_unpacked.exe

在strings页面查看文件中的字符串

图中可以看出这个文件使用http连接到10.10.10.10并进行数据传输;在C盘创建文件夹C:/RaDa/tmp;将文件rada.exe复制到C:\RaDa\bin;对主机的注册表进行了读写和删除操作;还有截屏、休眠等操作

(3)识别并说明这个二进制文件所具有的不同特性

这个文件通过修改注册表使程序开机自启动,该程序启动之后将自己复制到c盘中,并且与10.10.10.10连接,将传输的文件保存到c盘中

(4)识别并解释这个二进制文件中所采用的防止被分析或逆向工程的技术

UPX加壳

(5)对这个恶意代码样本进行分类(病毒、蠕虫等),并给出你的理由

后门程序,它可以获得控制权限并开机自启动,并通过加壳进行伪装

(6)给出过去已有的具有相似功能的其他工具

实验二中msfvenom生成的后门程序

(7)可能调查处这个二进制文件的开发作者吗?如果可以,在什么样的环境和什么样的限定条件下?

IDA Pro打开RaDa_unpacked.exe

查看Strings页面

右键打开setup并只勾选Unicode

找到--author

双击进行分析

打开对应流程图

可以看出由sub_40AAA0判断输出Unknown argument还是Authors:Raul Siles & David Perze, 2004

查看sub_40AAA0

看到select语句判断程序是否在Vmware运行,若是则输出Unknown argument: --authors,否则输出Authors:Raul Siles & David Perze, 2004

可以调查作者,在非VMware的虚拟机输入--authors参数可以查看作者,或者通过IDA Pro或者Process Explorer查看strings也可以

(8)给出至少5种检测该恶意软件的方法,例如基于特征码的方法,需要详细介绍每种方法

  1. 基于特征码的检测方法

通过识别已知恶意程序的特征码来检测后门。特征码是对恶意代码或可疑代码段的唯一标识,大多数防病毒软件使用这种方法来扫描系统中可能的恶意文件。

具体过程:

收集已知恶意代码的特征码,这些特征码可能是文件的哈希值、特定字节序列或字符串。
将这些特征码与系统中文件的哈希值或字节序列进行比对。
如果文件中包含已知特征码,则将其标记为可能的后门程序。

优点:快速且准确,适合检测已知后门。

缺点:无法检测未知后门或稍作修改的变种。

  1. 行为分析检测方法

通过监控程序在系统中的行为来判断是否存在后门程序。通常,后门程序会执行特定的恶意操作,如建立远程连接、读取敏感信息等。

具体过程:

设置行为监控系统,监视程序的进程创建、网络连接、文件读取、写入等行为。
预设一些异常行为的判定标准,如网络通信的频率、访问的IP地址范围等。
识别出符合后门特征的异常行为,进一步分析其合法性。

优点:能有效检测未知的后门程序。

缺点:可能出现误报,并需要高性能监控系统支持。

  1. 基于沙盒环境的检测方法

沙盒检测方法是将程序在隔离的环境中运行,观察其行为以判断是否具有后门特性。该方法适合检测未知或变种后门。

具体过程:

创建一个虚拟的隔离环境(沙盒),可以是虚拟机或虚拟容器。
在沙盒中运行目标程序,监视其行为,包括系统调用、网络访问等。
分析运行结果,判断程序是否试图与外部主机通信、获取敏感信息等行为,若有则可能是后门程序。

优点:对未知的后门程序有较高的检测成功率。

缺点:沙盒检测时间较长,且某些后门具备反沙盒特性,难以在沙盒中检测到。

  1. 基于流量分析的检测方法

后门程序通常会与攻击者的服务器通信,流量分析方法通过检测网络流量中的异常行为,识别潜在的后门程序。

具体过程:

设置流量监控系统,监视系统或网络的进出数据包。
分析数据包的流量特征,包括访问的目的IP地址、端口、数据包大小、传输协议等。
根据设定的规则,如不常见的协议使用、非正常工作时间的流量等,识别异常连接。
将异常连接的主机进一步分析,确认是否有后门。

优点:能够检测出在系统中隐藏的、未被防病毒软件检测到的后门程序。

缺点:对网络资源消耗大,且需要大量数据分析以识别正常和异常流量。

  1. 基于哈希比对的检测方法

哈希比对方法主要用于检测文件的完整性,判断是否被篡改而植入后门程序。

具体过程:

计算系统文件或程序的哈希值,生成当前文件的指纹。
将这些哈希值与已知良性文件的哈希值库进行比对。
如果文件的哈希值与已知良性文件不一致,则说明文件被篡改,有可能被植入后门。

优点:快速有效,能够检测已知程序是否被篡改。

缺点:仅适用于已知文件的检测,对未知文件或新文件无法检测。

2.4 取证分析实践

数据源是Snort收集的蜜罐主机5天的网络数据源,并去除了一些不相关的流量,同时IP地址和其他敏感信息被混淆。回答下列问题:

(1)IRC是什么?当IRC客户端申请加入一个IRC网络时将发送那个消息?IRC一般使用那些TCP端口?

IRC是一种实时通讯协议,广泛用于聊天、讨论和信息共享。它支持通过网络在不同的计算机之间传输消息,通常用于创建聊天室或私聊。IRC协议由客户端与服务器进行通信,客户端通过连接到IRC服务器加入一个或多个聊天室并进行交流。

当IRC客户端申请加入一个IRC网络时,通常会发送一条NICK消息来指定客户端的昵称,接着发送USER消息来提供关于该用户的信息。例如:

NICK:用于设置客户端的昵称(例如:NICK chuzhehao)。
USER:提供客户端的用户名、主机名、服务器名和真实姓名(例如:USER chuzhehao 0 * :Chuzhehao)。
之后,客户端可能会向IRC服务器发送JOIN消息来加入一个指定的频道(例如:JOIN #chuzhehao_channel)。

IRC协议一般使用以下TCP端口:

一般端口号为6667,也会使用6660-6669,6697是IRC使用SSL/TLS加密的端口。

(2)僵尸网络是什么?僵尸网络通常用于什么?

僵尸网络(Botnet)是由大量被恶意软件感染并被远程控制的计算机或设备组成的网络。这些计算机通常被攻击者控制后,成为“僵尸”,在用户不知情的情况下执行攻击者的命令。僵尸网络通过控制成千上万的受感染设备,能够进行大规模的恶意活动。

僵尸网络通常用于:

分布式拒绝服务攻击(DDoS)、发送垃圾邮件、数据盗窃、传播其他恶意软件等

(3)蜜罐主机(IP地址:172.16.134.191)与那些IRC服务器进行了通信?

使用wireshark打开数据包

输入ip.src == 172.16.134.191 && tcp.dstport == 6667 || tcp.dstport == 6697进行过滤

查看所有地址

除蜜罐主机(IP地址:172.16.134.191)外,还有66.33.65.58、63.241.174.144、217.199.175.10、209.196.44.172和209.126.161.29这五个地址

所以与蜜罐主机通信的IRC服务器有五个,分别是66.33.65.58、63.241.174.144、217.199.175.10、209.196.44.172和209.126.161.29。

(4)在这段观察期间,多少不同的主机访问了以209.196.44.172为服务器的僵尸网络?

首先使用命令sudo apt install tcpflowsudo apt install tcpflow-nox安装tcpflow

再使用tcpflow -r botnet_pcap_file.dat 'host 209.196.44.172 and port 6667'进行查看

生成了172.016.134.191.01152-209.196.044.172.06667,209.196.044.172.06667-172.016.134.191.01152和report.xml三个文件

先执行export LC_COLLATE='C'export LC_CTYPE='C'避免字符编码导致计数不准确的问题

输入命令cat 209.196.044.172.06667-172.016.134.191.01152 | grep -a "^:irc5.aol.com 353" | sed "s/^:irc5.aol.com 353 rgdiuggac @ #x[^x]*x ://g" | tr ' ' '\n' | tr -d "\15" | grep -v "^$" | sort -u | wc -l

如图可知有3457个主机访问了僵尸网络

(5)哪些IP地址被用于攻击蜜罐主机?

输入命令tcpdump -n -nn -r botnet_pcap_file.dat 'dst host 172.16.134.191' | awk -F " " '{print $3}' | cut -d '.' -f 1-4 | sort | uniq | more > 2.txt;wc -l 2.txt

得到一个txt文件

可以看到共有165个IP

(6)攻击者尝试攻击了那些安全漏洞?

输入命令snort -r botnet_pcap_file.dat查看信息

发现绝大部分是TCP包,很小一部分是UDP包

输入命令tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191 and tcp[tcpflags]== 0x12' | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq筛选tcp包

输入命令tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191 and udp ' | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq筛选udp包

TCP响应端口为135、139、25、445、4899、80

UDP响应端口为137

使用wireshark打开botnet_pcap_file.dat

筛选条件设置为(tcp.dstport == 135 || tcp.dstport == 25)&& ip.dst == 172.16.134.191

可以看到25端口和135端口仅仅进行了TCP三次握手,并没有数据交换

接下来把筛选条件设置为tcp.dstport==139 && ip.dst == 172.16.134.191

发现也只是进行连接,没有数据交换

把筛选条件设置为tcp.dstport==145 && ip.dst == 172.16.134.191

发现了PSEXESVC.EXE

过滤条件设置为ip.dst==61.111.101.78查看从蜜罐发往攻击主机的数据包,看到了Acceptance,且数据包中找到了\PIPE\lsass,攻击者可以进行远程调用访问和管理权限

回看对蜜罐接收到的报文,发现了大量与 SVCCTL 相关的通信。通过查询得知,Windows 系统中的 SVCCTL 接口用于与服务控制管理器(SCM)交互。该接口存在的漏洞允许匿名用户连接到 SCM,并查看系统中所有安装和运行的服务。

把筛选条件设置为tcp.dstport==4899 && ip.dst == 172.16.134.191

也只是连接但没有数据交换

把筛选条件设置为tcp.dstport==80 && ip.dst == 172.16.134.191

可以看到向蜜罐发送了CCCCCCCCCCCCCCCCCCCCCCCCCCC,是缓冲区溢出攻击

还用脚本进行攻击

发现蠕虫c:\notworm

看下蜜罐的回复

说明80端口的攻击都失败了

把筛选条件设置为udp.port==137 && ip.src == 172.16.134.191

用于"NetBIOS Name Service"(NetBIOS名称服务),没有数据交换

(7)那些攻击成功了?是如何成功的?

来自61.111.101.78的攻击利用了Dv1dr32蠕虫,通过向目标主机的445端口发送包含PSEXESVC.EXE的数据包并将其写入系统目录来实施攻击。蠕虫利用SVCCTL接口的漏洞,连接服务控制管理器(SCM),获取目标主机的服务信息,实现对系统的控制。

3.问题及解决方案

问题1:出现下图中的报错,关闭窗口后在Process Explorer中提示Path:拒绝访问

问题1解决方案:不要关闭图中的报错窗口,直接打开Process Explorer就可以查看信息

问题2:系统提示找不到tcpflow命令

问题2解决方案:输入命令sudo apt install tcpflowsudo apt install tcpflow-nox安装tcpflow即可

4.学习感悟、思考等

在本次恶意代码检测与分析实践中,我加深了对后门程序、木马、僵尸网络的理解,并通过工具如PEID、IDA进行脱壳操作,掌握了分析恶意代码的基本方法。尽管实验内容复杂,需要对汇编语言和各种工具的熟练掌握,但我通过实践解决了不少困难,特别是在数据分析和工具使用上。通过Wireshark数据包分析,我提升了对潜在攻击意图的识别能力。

标签:后门,文件,exe,恶意代码,程序,2024,2025,134.191,20222405
From: https://www.cnblogs.com/20222405chu/p/18527176

相关文章

  • 2024newstarweb题解
    w1headach3会赢吗源码flag碎片X1:ZmxhZ3tXQTB3再次查看源码flag碎片X2:IV95NF9yM2Fs第三个页面也是直接查看源码直接改源码flag碎片X3:MXlfR3I0c1B下一个页面直接禁用jsflag碎片X4:fSkpKcyF9ZmxhZ3tXQTB3IV95NF9yM2FsMXlfR3I0c1BfSkpKcyF9base64解码即......
  • 20222306 2024-2025-1 《网络与系统攻防技术》实验四实验报告
    1.实验内容1.1基本概念1.1.1什么是恶意代码?恶意代码(MaliciousCode)是指在计算机系统或网络中,被设计用来对系统造成损害、窃取信息、干扰正常操作或执行其他恶意目的的软件或程序片段。1.1.2恶意代码分析技术分为静态分析和动态分析两种方式:静态分析主要是分析诸如特征码,关......
  • 活着就好20241105
    ......
  • P11236 「KTSC 2024 R1」水果游戏 题解
    很有意思的一道题。思路首先将相邻一样的数合并,每个元素变成一个二元组,表示数与出现次数。考虑什么时候不能合并。我们发现假如充分合并后,现在有连续的三个数\(x_1,x_2,x_3\),以及他们各自的出现次数\(y_1,y_2,y_3\)。如果\(x_1>x_2,x_3>x_2\)。我们想要合并这三个,必须要......
  • 2024最新Python安装教程+Pycharm安装教程【附安装包】
    Python安装1.首先下载好Python安装包获取方式:点击这里(扫描神秘②薇码免下载)完全免费!!!2.打开安装包,先勾选最下面两个选项,再选择第二个自定义安装3.这里默认全选,点击next4.这里勾选图中选项,然后在电脑选择一个位置存放Python(不建议安装到C盘),最后点击Install就可以了 P......
  • [DMY]2024 NOIP 模拟赛 Day 4
    不会暴搜不会差分约束不会三维DP不会根号分治不会卡常……赛时电脑没网,换了一台。T1看不懂题面,还以为是\(n-x\),然后有人给我说根据题目名称可以推断是\(n\%x\)。……[从现在开始到T2,我写完了,但是被人用手势删了,没保存,不想重新写了,所以就这样了]……T2赛后发现差分约束......
  • 利用射线检测实现光束照射激活功能——2024TapTap聚光灯GameJam(一)
    利用射线检测实现光束照射激活功能——2024TapTap聚光灯GameJam记录日期 2024-11-05                          记录时间 13:35项目完成 2024-10-28                         历经时长 21 天简介项目主题:Light项目......
  • 2024年云手机推荐榜单:高性能云手机推荐
    无论是手游玩家、APP测试人员,还是数字营销工作者,云手机都为他们带来了极大的便利。本文将为大家推荐几款在市场上表现优异的云手机,希望这篇推荐指南可以帮助大家找到最适合自己的云手机!1.OgPhone云手机OgPhone云手机是一款备受海外推广与矩阵运营使用者好评的神器,它在海外......
  • 2024/11/5
    、          实验目的要求学生了解企业文化的概念,理解以人为本、团队精神在企业文化中的作用及意义。对亚马逊企业文化的几点思考作者(单位,河省市邮编)摘 要:亚马逊是美国最大的一家网络电子商务公司,也是一家财富500强的公司。亚马逊,一个出生于低毛利的零售行业的......
  • “双一流”高校主办EI国际会议(FICMSS 2025),别错过投稿参会机会!
    第二届智能控制、测量与信号系统国际会议(FICMSS2025)将于2025年1月10-13日在南京召开,聚焦智能控制、测量与信号系统,诚邀国内外学者参会交流,提交论文将提交EI检索,注册费含版面费及参会名额。会议简称:FICMSS2025会议全称:第二届智能控制、测量与信号系统国际会议The2ndInte......