本文共 1126 字，大约阅读时间需要 3 分钟。

恶意代码分析是安全从业者必修的一环，涉及文件分析、逆向工程、行为分析等多方面的内容。本节主要通过动态分析技术对可疑文件进行排查。

Lab1-1: 文件分析

将文件放入PEid中查看时间戳，检查是否有加壳。若无加壳，放入IDA进行静态分析，重点关注伪代码和导入表中的文件操作。通过FindFirstFile、CopyFile、CreateFile等函数，可以判断文件是否进行了恶意操作。

此外，通过查看注册表和进程信息，利用wireshark抓包分析网络行为，结合外联IP地址，可以判断是否存在感染痕迹。

Lab1-2: 动态分析

将文件拖入Ollydbg进行动态调试，定位到程序入口点（OEP）。若发现难以脱壳，可以借助LordPE或使用WSUpacker脚本进行自动化脱壳。此外，通过ProcessExplorer和procmon进行进程和文件操作监控，结合注册表快照和DNS解析记录，进一步分析恶意行为。

Lab1-3: 加壳分析

对加壳文件进行手动调试，通过F9、ALT+F9等快捷键设置断点，逐步深入分析壳的内存行为。若使用WSUpacker失败，可以尝试手动修复导入表。通过查看壳的导入表和字符串，发现涉及COM组件和网络操作，进一步判断其恶意性。

Lab3-1: 进程监控

在Win XP环境下，使用ProcessExplorer监视目标文件的运行情况。通过procmon设置监控动作，关注文件操作、注册表修改和网络行为。结合wireshark抓包，分析DNS解析记录，判断是否存在恶意脚本下载。

Lab3-2: 动态调试与网络行为

通过IDA分析发现目标程序调用了HttpSendRequest和InternetReadFile函数，表明存在网络通信行为。通过RegOpenKeyEx和RegQueryValueEx等注册表操作，确认恶意程序试图修改系统配置。此外，利用ProcessExplorer获取外联IP地址，确认网络行为。

Lab3-3: 进程行为分析

目标程序创建了svchost.exe进程，并通过睡眠和键盘输入操作进行隐蔽化。通过监控进程创建和内存变化，发现其试图写入日志文件和启动隐藏服务。此外，通过IDA分析发现程序调用了vmware相关字符串，表明可能存在虚拟化攻击。

Lab5-1: IDA分析

将文件导入IDA，定位到DllMain入口点，分析其伪代码和导入表。通过搜索关键函数如gethost、send和socket，发现程序尝试获取系统语言和启动远程shell。进一步分析发现程序通过比较版本号判断系统安全性，若低于阈值则退出，否则进行攻击。

通过上述方法，可以全面分析恶意程序的行为，判断其是否具有攻击性。

转载地址：http://bovfk.baihongyu.com/