https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/Recent content in 03 on 蛇索尼 AidenHugo -- gohugo.iozh-CNshesl-meow@qq.com (佘崧林)shesl-meow@qq.com (佘崧林)Thu, 16 May 2019 15:42:26 +0800https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-4/Thu, 16 May 2019 15:42:26 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-4/QUESTION 1 What happens when you run this file? 拿到病毒首先分析是否加壳： 同样的这个文件也是 Microsoft Visual C++ 6.0，同样理论上也可以直接分析反汇编代码。对于本题我们只需要双击运行即https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-3/Tue, 14 May 2019 11:38:40 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-3/QUESTION 1 What do you notice when monitoring this malware with Process Explorer? 拿到病毒首先分析是否加壳： 可见其 packer 就是 Visual C++ 6.0，没有进行任何加壳，理论上可以直接分析反汇编代码，但是题目让我们进https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-1/Wed, 08 May 2019 07:14:48 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-1/QUESTION 1 What are this malware’s imports and strings? 通过 PEiD 这个软件分析这个病毒： 发现这个病毒使用了 PEncrypt 3.1 加壳了。所以我们并不知道它实际的导入函数。 于是我们通过 stringshttps://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-2/Wed, 08 May 2019 07:14:48 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/03/lab3-2/QUESTION 1 How can you get this malware to install itself? 首先查看文件类型： 1 2 $ file Lab03-02.dll Lab03-02.dll: PE32 executable (DLL) (GUI) Intel 80386, for MS Windows 因此使用程序 rundll32.exe 安装动态链接库，msdn 使用教程。 我们进一步查看这个动态