https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/09/Recent content in 09 on 蛇索尼 AidenHugo -- gohugo.iozh-CNshesl-meow@qq.com (佘崧林)shesl-meow@qq.com (佘崧林)Wed, 10 Jul 2019 19:43:10 +0800https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/09/lab9-2/Wed, 10 Jul 2019 19:43:10 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/09/lab9-2/QUESTION 1 What strings do you see statically in the binary? 首先使用 PEexplorer 中的反汇编功能查看其中的 .rdata 段： QUESTION 2 What happens when you run this binary? 运行程序，没有任何反应。 使用 Process Monitor 查看，存在一些文件和注册表操https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/09/lab9-1/Wed, 19 Jun 2019 16:39:55 +0800shesl-meow@qq.com (佘崧林)https://blog.haitai-social.com/note/%E7%B3%BB%E7%BB%9F%E7%90%86%E8%AE%BA%E8%AF%BE%E7%A8%8B/%E6%81%B6%E6%84%8F%E4%BB%A3%E7%A0%81%E5%88%86%E6%9E%90/09/lab9-1/QUESTION 1 How can you get this malware to install itself? 在 BinaryCollection/ 文件夹下运行 diff 命令可以查看两个文件之间的差异： 1 2 $ diff Chapter_9L/Lab09-01.exe Chapter_3L/Lab03-04.exe # 没有返回值说明这两个文件没有任何不同 我们发现 Lab09-01.exe 与 Lab03-04.exe 是同