恶意代码分析实战Lab0701

Lab 10-01 本实验包括一个驱动程序和一个可执行文件。你可以从任意位置运行可执行文件，但为了使程序能够正常运行，必须将驱动程序放到C:\Windows\System32目录下，这个目录在受害者计算机中已经存在。可执行文件是Lab10-01.exe,驱动程序是Lab 10-01.sys. 问题 1.这个程序是否直接修改了注册表？ 修改了。 2.用户态的程序调用了ControlService函数，你是否能够使用WinDbg设置一个断点，以此来观察由于ControlService的调用导致内核执行了怎样的

lab15-01在每一个跳转地址前面都有一个E8,把他标识为数据,程序就出来了第一个比较,要求命令行参数是两个,其中一个是程序名接着是取出第二个参数的第一个字节作比较,可以知道参数是pdqlab15-02修正过程中就两个地方注意一下,其他的都跟第一题一个手法第一个是如下图,原来是个jmp语句跳到FF开始执行,也就是另一种翻译做inc和dec,所以这一段其实没有意义,选择翻译成第二个图就好,只要知道...

打开ini文件，看到一个字符串，明显是加密过的，很容易猜想dll会对其进行解密首先关注到ini文件的使用方式可知ini文件需要放到system32目录下，该dll才可以正确运行100010B3函数对读取的每一位做计算不晓得这堆数据有什么用然后分析到100014B6函数：合理猜测当这些dll或者exe运行时，会调用该恶意代码分析installer函数：很常见的注册表键值操作以及文件操作问题1：恶意d...

Lab1-1 2. 这些文件是什么时候编译的？ 采用将程序导入到PE view，进行分析，在PE文件的头部->NT头->文件头处可以看得PE文件的创建日期。 exe文件 DLL文件 亦或者可以使用010 Editor进行分析。 3. 这两个文件是否存在迹象说明它们是否被加壳或混淆？ 将文件分别拖进PEiD进行分析。 exe文件 DLL文件 可以判断两个文件都无加壳，未被混淆。 4. 是否有导入函数显示出了这个恶意代码是做什...

查看程序，有壳： 第一步：程序脱壳：（UPX壳，直接ESP定律）找到OEP（如下图，直接Dump 转储就好） 第二步开始分析： main函数进去之后： 可以先查询一下调用的API的具体功能： StartServiceCtrlDispatcherA 将服务进程的主线程连接到服务控制管理器，后者使该线程成为调用过程的服务控制调度程序线程 函数原型： BOOL StartServiceCtrlD...

先查壳 看到PEncrypt 3.1 Final -> junkcode的壳，没见过。上次下载的万能脱壳机脱不下来这个 于是网上先找了一波脱壳教程 https://bbs.pediy.com/thread-90089.htm 找到了这个脱壳的案例和教程，链接底下也有demo下载可供调试（学会了这个用这种方式还是脱不下来这个题的） 最后想到了内存DUMP的办法，即使我不

和0304是同一个程序，下面是自己当时对0304的分析http://blog.csdn.net/kevin66654/article/details/79250908从IDA里分析main先分析多次重复出现的402410&parameters是由三部分字符串连接而成的aCDel是删除符号，&Filename是自身，aNull是>>NULL的终结符号，shell执行之后，...

从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）

4102386：隐藏字符串的姿势之一：把字符串的赋值改成一个一个字符赋值这样在strings中就看不到了在main中，出现了一个红色调用：在OD中明显可以看到：啊啊啊啊...

记录《恶意代码分析实战》中的实验，提供相关链接： 电子书的下载 i春秋由相关实验的视频教程 Labs-01-2 实验 1.传至VT。 2.是否被加壳或者混淆？如果加壳，请脱壳。 操作： 1）用PEID检测，发现被加壳： 2）进行深度扫描后发现，是UPX加壳： 3）利用free upx 进行脱壳（脱壳后的程序将会覆盖源程序），发现是由VC++ 6.0编写： 3.有没有导入函数能够暗示出该程序的功能？ 操作：利用PEiD进行导入函数查看，会创建互斥、进程和服务，同时进行联网操作。 4.那些基于