3.恶意代码分析实战之动态调试

kerve 2023-01-13 03:33:31

课时名称	课时知识点
3.恶意代码分析实战之动态调试	3.恶意代码分析实战之动态调试

...全文

45 回复打赏收藏转发到动态举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

WinDebug 是一款调试工具可以调试进程的。

动态分析就是在运行恶意代码之后进行检查的过程。动态分析技术是恶意代码分析的第二步，一般在静态分析技术进入一个死胡同的时候进行，比如恶意代码进行了混淆，或者分析师已经穷尽了可用的动态分析技术。动态分析包括在恶意代码运行时刻进行监控，以及在恶意代码运行之后来检查系统情况。与静态分析不同，动态分析能够让你观察到恶意代码的真实功能，一个行为存在于二进制程序中，并不意味着它就会被执行。动态分析也是一种识别恶意代码功能的有效方法。

它集成了 Filemon 和 Regmon 的功能，可以帮助分析和调试系统问题，追踪应用程序的行为，特别是在恶意软件分析中，它是检测和跟踪恶意软件行为的有力工具。Process Explorer 是一个高级的系统任务管理工具，能够显示详细的系统信息，包括正在运行的进程、打开的句柄和加载的 DLL。在一个安全的环境中执行Lab03-03.exe文件中发现的恶意代码，同时使用基础的动态行为分析工具监视它的行为。使用基础的动态行为分析工具来分析在Lab03-04.exe文件中发现的恶意代码。

《恶意代码分析实战》实验——Labs-16 记录《恶意代码分析实战》中的实验，提供相关链接：电子书的下载（*＾-＾*）《恶意代码分析实战》实验——Labs-16Labs-16-01实验静态分析：IDA分析动态分析问题Labs-16-02实验静态分析：IDA分析动态分析问题Labs-16-03实验静态分析：IDA分析问题 Labs-16-01实验样本：Lab16-01.exe 静态分析：查壳——无壳，Win32 console程序，需要命令行启动查看输入表—— KERNEL32.DLL：读写

首先，将可执行文件拖入IDA中。我们可以看到有三处都调用了sub_401000函数，并且代码都在哪里停止执行。由于没有一条线从这些方框中引出，这就意味着函数可能终止了程序。右侧每一个大框中都包含一个检查，这个检查决定是调用sub_401000函数，还是让恶意代码继续运行。函数sub_401000非常可疑，因为没有从它返回运行，所以进一步研究这个函数。函数sub_401000以一个_exit调用结束，终止了这个恶意代码。

千眼阁网络安全实验室的课程社区_NO_1

1

社区成员

117

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章