漏洞挖掘-靜態分析實驗筆記

來源：http://bbs.ichunqiu.com/thread-8978-1-1.html?from=ch

課程連結：http://www.ichunqiu.com/course/145

實驗工具：

strings  xxx.exe               //檢視有哪些可列印的字元

petools   檢視pe結構

virscan  線上查毒工具

free upx  用於脫upx的殼

linxerunpacker  通用的脫殼工具

resource hacker  可以將目標程式中的資源提取出來

實驗思路：

1.利用網路掃描工具對目標程式進行掃描

2.利用本地靜態分析工具分析目標程式

3.提取資源中的內容

實驗步驟：

1.使用線上掃描工具進行掃描（使用的是virscan）

2.使用peid檢視是否加殼

發現沒有加殼，用vc++編寫的

3.使用petools檢視檔案編寫時間

很明顯時間被作者修改過

4.看一下匯入了哪些函式（使用peid）

以下這幾個函式是病毒經常呼叫的函式，createfile用於檔案的建立，writefile用於檔案的寫入，winexec可以用於執行一個檔案

findresource和sizeofresource是關於資源的函式，也要引起注意

有一個getwindowsdirectory這個api函式，此函式可以獲得windows目錄，惡意程式可能會通過此函式將自身複製到系統目錄下

在advapi32.dll中的那三個函式可以用來提升許可權

5.檢視有哪些行為

可能會進行網路通訊

6.提取資源

大概看一下可以知道應該是PE檔案

將他儲存為二進位制檔案

使用petools具體檢視是哪種PE檔案（PE檔案分為兩種：exe和dll）

將新生成的二進位制檔案拖到petools裡然後檢視檔案頭

15.png(122.67 KB, 下載次數: 0)

下載附件儲存到相簿

半小時前上傳

看到dll沒有打勾說明是exe檔案

目前就學了這些，以後會繼續努力學習