Lab1-1

这个有个exe，还有个dll

先去查杀一下

由于那个网站上不了(翻墙的话应该可以)

除了上面这个多引擎查杀，还有下面的

https://virusscan.jotti.org/

http://www.virscan.org/

https://fireeye.ijinshan.com/

不过还有PhrozenVirusTotalUploader工具，是客户端版

不过还是不行…..

算了用其他吧

dll的

2.什么时候编译的呢

pe文件里面有这个一个字段

直接拖PE tools，点击文件头

当然用其他工具，或者手动也可以

发现结果跟上面的不一样

那么可以确定那个工具有点问题啊

再看看dll的

时间相差无几，应该是同属一个恶意代码包

有没有被加壳呢

直接看到了vc++6.0，区段也

dll的

查看输入表

有两个查找当前目录文件的api，还有复制文件的（应该是复制自身到一个隐蔽的目录）

dll的

有创建进程，和睡眠

这个就有个网络通信的了

还有没有其他特征可发现呢

看看里面有什么字符串是一个办法

strings的下载地址

https://technet.microsoft.com/en-us/sysinternals/bb897439.aspx

直接strings + 文件名

我们可以看到有个迷惑的字符串，那个l变成了1，根据前面可以猜测是将自身复制到system32那里迷惑人了

也可看到导入函数

看下dll

有个ip地址，如果真实的病毒就不知保留地址了

总结

应该是复制自身，查找文件那个api有可能是查找杀软，或者要感染的文件等

dll可能是一个后门，由exe来启动，exe有个CreateProcess的api可以dll注入什么的

Lab1-2

接下来直接跟上面的步骤来重复了

而且从上面可以大概知道加了upx壳，应该是一个含有下载功能的恶意代码

查壳看看

确实如此

upx壳，直接esp定律即可脱壳

先看没脱壳的

一个创建服务的

The CreateService function creates a service object and adds it to the
specified service control manager database.

那个InternetOpen是初始化对象的（Initializes an application's use of the WinINet functions.）

再看脱壳了的，就看得更多了

这里就多了一个打开url的了，猜想是get参数传递？

再看看字符串

直接看脱壳了的，脱壳对静态分析的影响还是挺重要的，下面就看到了那个url了，一看这个程序就是本书原作者自己写的

当然od也可以

怎么检测这个主机被这个恶意代码感染呢

一个就是网络迹象：访问上面那个url的

另一个就是创建了一个服务，通过上面的分析可知道，但是创建的服务名是什么还不知道…

稍微od跟一下差多多确定是这个了名称的服务

当然ida就更加清晰了（脱壳的哦）

之后调用了401040，我们去看看

最后再创建一个线程，调用的是StartAddress函数

Lab1-3

一上去全部报毒，这个看来很牛逼啊

查下壳，果然

见识短，这个我第一次见

这个壳，作者说暂时没法脱壳，我就是要挑战，失败了再说，基本上脱壳八法都尝试过了

查了一下，可以用模拟跟踪来脱壳

http://www.giantbranch.cn/?p=341#nbsp

再ctrl + a就看到熟悉的结构了

向下稍微拖一下，发现了main函数

直接用od的插件脱壳吧

看看，果然脱壳了

当然用SFX也是可以的

既然脱了壳，那尝试继续分析咯

看看导入表，有点诡异，不认识。。。，等之后的章节再看吧，作者说18章后回来

看看字符串,有个url

也跟程序运行的效果吻合

跟着就跳到404的页面了

用ida看看吧，其实也不太懂，大概就是通过浏览器打开那个url吧

这里的话，可以通过这个网络特征来查，当然还可以有其他方法

Lab1-4

先查杀一波

又有下载字眼

查一下，没有壳

看看编译时间

看着就有点不对劲

这是伪造的。。

我也可以去修改它

看看导入表

这里可以知道这个可能会执行命令，复制文件，操作一些资源文件，创建线程什么的

这里还涉及权限的东西，那个提升程序的特权(AdjustTokenPrivileges),那个lookup是查询权限，之前的打开句柄吧

网上查了查提升权限的代码段

if ( !OpenProcessToken( GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken ) ){
       TOKEN_PRIVILEGES tkp;
       LookupPrivilegeValue( NULL,SE_DEBUG_NAME,&tkp.Privileges[0].Luid );//修改进程权限
       tkp.PrivilegeCount=1;
       tkp.Privileges[0].Attributes=SE_PRIVILEGE_ENABLED;
       AdjustTokenPrivileges( hToken,FALSE,&tkp,sizeof tkp,NULL,NULL );//通知系统修改进程权限
       return( (GetLastError()==ERROR_SUCCESS) );
}

就是用这几个函数的

接下来看看字符串