20232810 2023-2024-2 《网络攻防实践》实验八

一、实践内容

1.1 恶意代码

1.1.1 简介

定义：恶意代码（Malware,或Malicious Code）指的是使计算机按照攻击者的意图执行以达到恶意目标的指令集。
指令集合：二进制执行文件、脚本语言代码、宏代码、寄生在文件或者启动扇区的指令流。
目的：远程控制被攻击主机、满足施跳板攻击或进一步传播恶意代码、窃取私人信息或机密信息、窃取计算存储带宽资源、拒绝服务等。
类型：不感染的依附性恶意代码（特洛伊木马、逻辑炸弹）、不感染的独立性恶意代码（点滴器、繁殖器）、可感染的依附性恶意代码（病毒）、可感染的独立性恶意代码（蠕虫）

1.1.2 计算机病毒

定义：计算机病毒是一种能够自我复制的代码，通过将自身嵌入其他程序进行感染，而感染过程通常需要人工干预才能完成。
特性：感染性(本质特性)、潜伏性、可触发性、破坏性、衍生性。
感染及引导机制：
（1）感染可执行文件(最为普遍的方式)：前缀感染机制(病毒将自身复制到宿主程序的始端)、后缀感染机制(病毒将自身复制到宿主程序的末端)、插入感染机制(病毒在感染宿主程序时，病毒代码放在宿主程序的中间)。
（2）感染引导扇区：通过BIOS定位磁盘的主引导区，运行存储的主引导记录，接着从分区表中找到第一个活动分区，读取并执行这个活动分区的分区引导记录，而分区引导记录负责装载操作系统。
（3）感染数据文件(支持宏的数据文件)：将自身以宏指令的方式复制到数据文件中，当被感染的数据文件被应用程序打开时，将自动执行宏病毒体，完成病毒的引导。

1.1.3 网络蠕虫

定义：一种通过网络自主传播、自我复制的独立恶意代码。(从这里就可以看出病毒和蠕虫的区别)
传播机制：主动攻击网络服务漏洞、通过网络共享目录、通过邮件传播。
组成结构：
（1）弹头：利用目标系统安全漏洞入侵目标系统。包括缓冲区溢出攻击、破坏目标系统服务中的内存结构、文件共享攻击、利用电子邮件传播、利用其它普通的错误配置。这里其实就是我们之前说的渗透攻击模块。
（2）传播引擎：通过在目标系统上执行传播引擎指令，完成蠕虫样本的传播。方式有FTP/TFTP/HTTP/SMB/直接传送/单包等。
（3）目标选择算法和扫描引擎：一旦蠕虫在受害计算机中运行，目标选择算法开始寻找新的攻击目标，利用扫描引擎扫描每一个由目标选择算法确定的地址，确定其是否可以被攻击。包括电子邮件地址、主机列表、被信任的系统、网络邻居主机等。这里就是扫描策略。
（4）有效载荷：附加的攻击代码，执行一些特殊目地的操作。包括植入后门、安装分布式拒绝服务攻击代理、组建僵尸网络、执行一个复杂计算等。

1.2.4 静态分析

定义：通过在受控环境中执行目标代码，以获取目标代码的行为及运行结果。
方法列表：
（1）动态分析中的监视与控制：行为监视即一系列监控软件来控制和观察恶意代码的运行情况。网络控制即与业务网络和互联网保持物理隔离。
（2）快照比对：分为四步：对“干净”资源列表做快照、运行恶意代码、对恶意代码运行后的“脏”资源列表做快照、对比“干净”和“脏”快照，获取恶意代码行为结果。
（3）动态行为监控：包括Notification机制(Win32/Linux系统本身提供的行为通知机制)和API Hooking技术(对系统调用或API调用进行劫持，监控行为)。
（4）网络监控：主要监控四个方面，包括恶意代码开放的本地端口、恶意代码发起的网络连接、控制恶意代码网络流和恶意代码流行攻击方式-ARP欺骗。
（5）沙盒：沙盒技术用于安全运行程序的安全环境，经常被用于执行和分析非可信的代码。
（6）动态跟踪调试：在程序的执行过程中进行二进制调试(Debugging)。

二、实践过程

2.1 动手实践任务一

（1）解压下载的压缩文件，将RaDa放入虚拟机WinXP的桌面，同时打开终端，先 cd 桌面 进入桌面后输入 file RaDa.exe，查看该文件类型，这是一个有图形化界面（GUI）的 Win32 PE（可移植可执行）程序。
在这里插入图片描述
（2）使用PEiD工具查看文件加壳类型。加壳的目的是为了增加逆向难度。可以看到这个是一个版本为0.89.6的UPX壳（压缩壳）。
在这里插入图片描述
（3）输入strings RaDa.exe，查看 RaDa.exe中可打印字符串，发现全是乱码，这说明被加壳了
在这里插入图片描述
（4）使用超级巡警进行脱壳，选择相应的路径，支持脱壳。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
（5）查看桌面，可以看到这个文件。
在这里插入图片描述
（6）再用 strings 查看脱壳后的RaDa_unpacked.exe，发现了脱壳后的恶意程序的可打印字符串。

在这里插入图片描述
（7）这时候用 IDA Pro Free 打开这个文件。
在这里插入图片描述

在这里插入图片描述
（8）查看详细信息，可以找到作者为DataRescue sa/nv，邮箱为ida@datarescue.com。
在这里插入图片描述

2.2 动手实践任务二：分析Crackme程序

（1）首先检查两个文件的完整性，计算其 md5 值。
在这里插入图片描述
（2）使用file命令查看其文件类型，可以看到这两个文件都是32位windows下PE文件。
在这里插入图片描述
（3）对crackme1.exe进行分析
在这里插入图片描述
（4）接下来利用IDA Pro打开这个程序分析，打开通过Strings窗口可以查看该程序中出现的字符串。通过Strings窗口可以查看到该程序中出现的明文字符串，可以看到前面的两种输出信息，“I think you are missing something.” “Pardon? What did you say?”，还发现了“I know the secret”和“You know how to speak to programs, Mr. Reverse-Engineer”这两个字符串。由此我们可以猜测，前者就是口令，后者是输入口令正确时程序的输出信息。
在这里插入图片描述
接下来看函数调用图（Function Call）可以发现：关键的部分在sub_401280这里，程序是使用strcmp函数来输入的，然后利用print和fprint函数输出。
在这里插入图片描述
下面看sub_401280流程图，看到 cmp [ebp+arg_0],2，其用来判断程序是否有两个参数。
在这里插入图片描述
继续分析，可以看到其他几条口令。
在这里插入图片描述
猜测正确的口令应该是"I know the secret"，输入命令运行改口令，可以得到这样一条回复"You know how to speak to programs,Mr.Reverse-Engineer"。成功。
在这里插入图片描述
（5）程序crackme2.exe的分析过程与之类似，先打开Function call(函数调用图)，发现关键的部分在sub_401280这里。
在这里插入图片描述
在这里插入图片描述
输入 copy crackme2.exe crackmeplease.exe 将程序复制并命名为crackmeplease.exe，输入crackmeplease.exe “I know the secret”，得到的反馈信息为We have a little secret: Chocolate.成功。
在这里插入图片描述

2.3 分析实践任务一：分析一个自制恶意代码样本rada

（1）查看摘要和文件类型：md5sum RaDa.exe指令得到其md5摘要。利用file RaDa.exe识别出这是32位GUI文件。
在这里插入图片描述
（2）接下来打开监听工具process explorer对RaDa.exe进行检测，如图发现该程序用http连接到目标为10.10.10.10的主机下名为RaDa——commands的网页上,创建文件夹C：\RaDa\tmp保存下载文件，进行DDOS拒绝服务攻击，将RaDa.exe复制到C：\RaDa\bin。该程序还依次读、写和删除注册表，打开注册表查看发现没有信息，则表示已删除。接下来执行exe（执行指定命令）、put（将宿主主机中的指定文件上传到服务器）、get（将服务器中的指定文件下载到宿主主机中）、screenshot（截取宿主主机的屏幕并保存到tmp文件夹）、sleep（停止活动一段时间）。
在这里插入图片描述
（3）进入Strings对话框，在菜单栏中的Edit中点击Setup，设置类型为 Unicode。
在这里插入图片描述
（4）在Strings里查看参数，可以看到作者信息。
在这里插入图片描述
（5）在strings中点击IP地址： http://10.10.10.10/RaDa，定位到相应位置后，由上述分析，用http连接到目标为10.10.10.10的主机下名为RaDa——commands.html，对应的函数为sub_404FB0，点击进入此函数，得到汇编代码如图，这个字符串被拷贝到dword_40C030变量中。
在这里插入图片描述
在这里插入图片描述
（6）回答问题

1、提供对这个二进制文件的摘要，包括可以帮助识别同一样本的基本信息；
答：文件的摘要是caaa6985a43225a0b3add54f44a0d4c7，这是一个PE可执行文件。
2、找出并解释这个二进制文件的目的；
答：这个二进制文件是一个后门程序，攻击者可以利用其完全控制该系统，并且只要用户上网，就可以得到到攻击者的攻击指令。
3、识别并说明这个二进制文件所具有的不同特性；
答：该程序运行的时候建立远程连接并修改注册表
4、识别并解释这个二进制文件中所采用的防止被分析或逆向工程的技术；
答：UPX加壳技术
5、对这个恶意代码样本进行分类（病毒、蠕虫等），并给出你的理由；
答：应该属于病毒程序
6、给出过去已有的具有相似功能的其他工具；
答：木马Bobax。
7、可能调查处这个二进制文件的开发作者吗？如果可以，在什么样的环境和什么样的限定条件下？
作者为Raul siles 和 David Perze。使用strings命令能查看

2.4 分析实践任务二：Windows 2000系统被攻破并加入僵尸网络

（1）IRC是什么？当IRC客户端申请加入一个IRC网络时将发送那个消息？IRC一般使用那些TCP端口？
IRC（Internet Relay Chat）是一种在线聊天协议，它允许用户通过网络参与实时的文字交流。用户可以在IRC服务器上创建和加入频道（类似于聊天室），并与世界各地的人进行交流。
当一个IRC客户端申请加入一个IRC网络时，它通常会发送几个关键的命令消息来建立连接和注册。首先，客户端会发送NICK命令来设置用户的昵称，然后使用USER命令来提供用户的身份认证信息，包括用户名、主机名、服务器名和真实姓名（或其它信息）。这些是建立初始连接和进行用户注册所需的基本命令。
IRC通常使用TCP端口6667作为默认的通信端口。除此之外，还可能使用6660到6669、7000等端口。有些服务器还支持SSL加密连接，通常使用6697端口。这些端口使得IRC客户端能够与服务器建立稳定的连接。
（2）僵尸网络是什么？僵尸网络通常用于什么？
僵尸网络（Botnet）是由大量互联网连接的设备组成的网络，这些设备被黑客或恶意软件控制，以执行一系列自动化的任务。这些设备通常被称为“僵尸”或“机器人”，因为它们在不知情的设备主人的控制之外被远程控制。
僵尸网络通常用于以下几种目的：

  1. 分布式拒绝服务攻击（DDoS）：利用大量的设备同时向特定的服务器或网络发送大量请求，导致目标系统超负荷，无法处理正常的流量，从而中断服务。
  2. 发送垃圾邮件：利用控制的设备发送大量垃圾邮件或进行垃圾邮件活动，因为使用多个源发送可以增加其分布范围并更难被拦截。
  3. 密码破解：使用僵尸网络中的计算能力来破解密码或执行其他需要大量计算资源的安全攻击。
  4. 信息窃取：利用被感染的设备来收集敏感信息，如信用卡号码、个人身份信息和企业数据。
  5. 点击欺诈：自动化点击网络广告或搜索引擎结果，以生成虚假的点击量，从而欺诈广告收入。
  6. 加密货币挖矿：使用僵尸网络中的设备资源来挖掘比特币等加密货币。
    僵尸网络由于其能够动员的庞大资源和跨越国界的特性，成为了网络犯罪和网络战的一个重要工具。对于个人和组织来说，确保其设备的安全，防止成为僵尸网络的一部分，是非常重要的。
    （3）蜜罐主机（IP地址：172.16.134.191）与那些IRC服务器进行了通信？
    首先通过Wireshark打开数据文件botnet_pcap_file.dat，并设置过滤条件ip.src == 172.16.134.191 && tcp.dstport == 6667，可以找到所有与蜜罐主机进行通信的五个 IRC 服务器：分别为 209.126.161.29、66.33.65.58、63.241.174.144、217.199.175.10、209.196.44.172在这里插入图片描述
    （4）在这段观察期间，多少不同的主机访问了以209.196.44.172为服务器的僵尸网络？
    计算出的结果有3461个
    在这里插入图片描述
    （5）哪些IP地址被用于攻击蜜罐主机？
    在这里插入图片描述
    （6）攻击者尝试了哪些安全漏洞？哪些攻击成功了？是如何成功的？
    有135、139、25、445、4899、80。用wireshark打开文件botnet.pcap，逐个筛选TCP端口。
    135:探测；25：扫描；139：SMB查点；80：缓冲区溢出；1340：红色代码蠕虫等。

三、学习中遇到的问题及解决

开始无法将RaDa拖拽到虚拟机里面，后来采用同学的建议，将其存到U盘中，然后用虚拟机连接上U盘，才成功复制到虚拟机里。

四、学习感想和体会

随着实验内容的加深，除却对工具的学习外，更多的感受到底层编程语言及其逻辑、协议设计及其逻辑的要求进一步加深，要学的东西有很多，还是得埋头打基础。

五、参考资料

https://www.cnblogs.com/h767424060/p/16244282.html
https://www.cnblogs.com/ql5199/p/16216445.html
https://www.cnblogs.com/psalm46/p/16228109.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/833466.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【计算机网络】因特网概述

【计算机网络】因特网概述

一.发展的三个阶段 二.ISP介绍 因特网服务提供者（Internet Service Provider），简称ISP，普通用户是通过 ISP 接入到因特网的，ISP 可以从因特网管理机构申请到成块的 IP 地址，同时拥有通信线路以及路由器等连…
阅读更多...
面试集中营—Redis面试题

面试集中营—Redis面试题

一、Redis的线程模型 Redis是基于非阻塞的IO复用模型，内部使用文件事件处理器（file event handler），这个文件事件处理器是单线程的，所以Redis才叫做单线程的模型，它采用IO多路复用机制同时监听多个socket&a…
阅读更多...
开发中的一些专业术语，POJO、PO...

开发中的一些专业术语，POJO、PO...

在 Java 开发中，以下是常见的设计模式和概念： PO（Persistent Object）：持久化对象，也称为实体类或数据对象。它是与数据库表结构对应的类，通常用于表示持久化数据的实体。PO 类的属性与数据库表的…
阅读更多...
阿里easyExcel -- excel单元格自定义下拉选择(升级版)

阿里easyExcel -- excel单元格自定义下拉选择(升级版)

背景 很久很久以前写了一篇类似的文章 阿里easyExcel – excel下载/导出/读取 (单元格自定义下拉选择、不支持图片) ，用了没多久就发现不好用，限制太多（以后遇到你就知道了），然后就有了现在迟到很久的文章&#xff0c…
阅读更多...
python abs函数怎么用

python abs函数怎么用

abs()函数是Python的数字函数，用以返回数字的绝对值。 语法 以下是 abs() 方法的语法： abs( x ) 参数 x -- 数值表达式，可以是整数，浮点数，复数。 返回值 函数返回 x（数字）的绝对值&#x…
阅读更多...
(十五)Servlet教程——Servlet文件上传

(十五)Servlet教程——Servlet文件上传

JSP和HTML标签一起使用，来允许用户把文件上传到服务器。 首先我们需要创建一个前端界面，创建上传文件表单时，需要注意以下几点： (1) 表单的method属性必须设置为POST方法， 不能使用GET方法。 (2) 表单enctype属性应该…
阅读更多...
accelerator入门

accelerator入门

一、目录 1 定义 2. DP、DPP的区别 3 实现 4. 测试比较 二、实现 定义 accelerator 是由大名鼎鼎的huggingface发布的，专门适用于Pytorch的分布式训练框架,是torchrun 的封装。 GitHub: https://github.com/huggingface/accelerate 官网教程：https://…
阅读更多...
8、卷积Convolutions （CNN）

8、卷积Convolutions （CNN）

Today we finish off our study of collaborative filtering by looking closely at embeddings—a critical building block of many deep learning algorithms. Then we’ll dive into convolutional neural networks (CNNs) and see how they really work. We’ve used plen…
阅读更多...
kaggle叶子分类比赛(易理解)

kaggle叶子分类比赛(易理解)

说实话网上很多关于叶子分类比赛的代码能取得的成绩都很好,但对于我这个业余人员太专业了，而且很多文章都有自己的想法，这让我这个仿写沐神代码的小菜鸡甚是头痛。 但好在我还是完成了，虽然结果并不是很好，但是如果跟着沐神走的同…
阅读更多...
AI编码时代到来？实现编程梦想的利器—Baidu Comate测评

AI编码时代到来？实现编程梦想的利器—Baidu Comate测评

文章目录 Comate智能编码是什么？Comate支持的环境 Comate应用安装实际操作对话式生成代码生成代码注释智能单测项目测试调优功能 总结 Comate智能编码是什么？ 在如今这个拥抱AI的时代，市面上已经产出了很多Ai代码助手，如果你还没…
阅读更多...
【LeetCode算法】28. 找出字符串中第一个匹配项的下标

【LeetCode算法】28. 找出字符串中第一个匹配项的下标

提示：此文章仅作为本人记录日常学习使用，若有存在错误或者不严谨得地方欢迎指正。 文章目录 一、题目二、思路三、解决方案四、JAVA截取字符串的常用方法4.1 通过subString()截取字符串* 一、题目 给你两个字符串 haystack 和 needle ，请你在…
阅读更多...
鸿蒙OpenHarmony南向：【Hi3516标准系统入门（IDE方式）】

鸿蒙OpenHarmony南向：【Hi3516标准系统入门（IDE方式）】

Hi3516标准系统入门（IDE方式） 注意： 从3.2版本起，标准系统不再针对Hi3516DV300进行适配验证，建议您使用RK3568进行标准系统的设备开发。 如您仍然需要使用Hi3516DV300进行标准系统相关开发操作，则可能会出现…
阅读更多...
CST电磁仿真查看模型的截面结构和生成Spice模型【入门教程】

CST电磁仿真查看模型的截面结构和生成Spice模型【入门教程】

通过Logfile查看仿真统计 一次性了解仿真统计! Post-Processing > Manage Results > Logfile 利用CPU Threads、Mesh Cells、Time Steps以及Total Solver Time等Logfile，可以一目了然地了解仿真统计。 （1）点击Post-Processing选项卡…
阅读更多...
PPT如何录制视频？看这里，让你轻松上手！

PPT如何录制视频？看这里，让你轻松上手！

在现代社会，演示文稿（ppt）已成为我们工作、学习和生活中不可或缺的一部分。无论是商务报告、教育培训还是产品展示，ppt都能以其直观、生动的形式有效地传达信息。可是你知道ppt如何录制视频吗？本文将为您介绍两种ppt录…
阅读更多...
pycharm code行太长显示波浪线取消

pycharm code行太长显示波浪线取消

实际操作如下：个人比较合适的位置为160,180时有点多 效果：
阅读更多...
《视觉十四讲》例程运行记录（3）——运行ch6的例程中Ceres和g2o库的安装

《视觉十四讲》例程运行记录（3）——运行ch6的例程中Ceres和g2o库的安装

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 一、安装Ceres1. 安装依赖2. 编译安装 二、安装g2o1. 安装依赖项2. 编译安装3. 可能出现的报错(1) 报错一 一、安装Ceres 1. 安装依赖 终端输入： sud…
阅读更多...
计算有效声压

计算有效声压

计算有效声压 clear all; %%----------------------------------------------读取文件------------------------------------------ % 从wav文件读入语音数据，该语音采样率16k，故信号最高频率8k。 [x,fs]audioread(C2_3_y.wav); % 取x的一个通道 xx(:,1)…
阅读更多...
Google准备好了吗？OpenAI发布ChatGPT驱动搜索引擎｜TodayAI

Google准备好了吗？OpenAI发布ChatGPT驱动搜索引擎｜TodayAI

在科技界波澜壮阔的发展中，OpenAI正式宣布其最新突破——一个全新的基于ChatGPT技术的搜索引擎，旨在直接挑战谷歌在搜索领域的统治地位。这一创新将可能彻底改变用户上网搜索的方式。 据悉，这款AI驱动的搜索引擎利用了ChatGPT的强大功能&…
阅读更多...
免费SSL证书？轻松申请攻略来了！

免费SSL证书？轻松申请攻略来了！

在当今的互联网时代，网络安全已经成为一个不容忽视的重要课题。随着在线交流和交易活动的增加，保护网站和用户信息的重要性日益突显。SSL证书，即安全套接字层证书，它为互联网通信提供了加密服务，确保数据的安全性和完整…
阅读更多...
淘宝扭蛋机小程序开发：转动幸运，开启无限惊喜

淘宝扭蛋机小程序开发：转动幸运，开启无限惊喜

一、探索未知，开启全新扭蛋体验 淘宝扭蛋机小程序，为您带来一场前所未有的扭蛋盛宴。在这个充满神秘与乐趣的平台上，每一次点击都将引领您走进未知的宝藏世界，每一次旋转都可能揭示出意想不到的惊喜。 二、海量商品，…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023