搜索

[12723] 2018-05-19_一项有趣的实验：装了杀软的主机真的安全吗？

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-05-19_一项有趣的实验：装了杀软的主机真的安全吗？ 一 项 有 趣 的 实 验 ： 装 了 杀 软 的 主 机 真 的 安 全 吗 ？ 原 创   s c u - i g r o u p   F r e e B u f   2 0 1 8 - 0 5 - 1 9 前 言 前 言 我 们 有 的 理 由 怀 疑 自 己 的 主 机 早 被 感 染 了 恶 意 程 序 。 大 部 分 人 都 是 采 用 重 打 包 后 的 镜 像 来 安 装 的 盗 版 系 统 ； 用 我 们 有 的 理 由 怀 疑 自 己 的 主 机 早 被 感 染 了 恶 意 程 序 。 大 部 分 人 都 是 采 用 重 打 包 后 的 镜 像 来 安 装 的 盗 版 系 统 ； 用 的 不 知 从 哪 儿 下 回 来 的 工 具 激 活 的 系 统 ； 平 常 在 网 上 下 载 的 工 具 奉 行 的 都 是 能 用 就 行 的 原 则 。 而 我 们 也 都 抱 着 的 不 知 从 哪 儿 下 回 来 的 工 具 激 活 的 系 统 ； 平 常 在 网 上 下 载 的 工 具 奉 行 的 都 是 能 用 就 行 的 原 则 。 而 我 们 也 都 抱 着 侥 幸 心 理 侥 幸 心 理 — — 大 家 都 在 用 ， 应 该 没 问 题 ， 大 不 了 装 了 杀 软 再 扫 一 遍 。 何 况 ， 杀 软 都 没 检 查 出 来 ， 这 让 我 们 也 很 大 家 都 在 用 ， 应 该 没 问 题 ， 大 不 了 装 了 杀 软 再 扫 一 遍 。 何 况 ， 杀 软 都 没 检 查 出 来 ， 这 让 我 们 也 很 无 奈 啊 ， 还 有 什 么 办 法 呢 ？ 带 着 这 样 的 问 题 ， 笔 者 细 细 琢 磨 了 下 ， 并 依 照 自 己 的 想 法 做 了 一 个 有 趣 的 实 验 。 无 奈 啊 ， 还 有 什 么 办 法 呢 ？ 带 着 这 样 的 问 题 ， 笔 者 细 细 琢 磨 了 下 ， 并 依 照 自 己 的 想 法 做 了 一 个 有 趣 的 实 验 。 主 要 内 容 主 要 内 容 思 想 原 理 思 想 原 理 杀 软 主 要 是 通 过 扫 描 文 件 来 发 现 系 统 是 否 被 感 染 ， 扫 描 策 略 大 部 分 是 静 态 特 征 扫 描 ， 这 个 方 式 对 发 现 已 知 病 毒 程 序 很 有 效 ， 然 而 对 于 发 现 高 级 或 未 知 的 病 毒 程 序 就 没 那 么 有 效 了 。 那 还 有 什 么 方 式 来 检 测 呢 ？ 笔 者 是 这 样 想 的 ， 假 设 我 的 主 机 已 被 感 染 ， 病 毒 程 序 会 寻 求 与 C & C （ 命 令 与 控 制 ） 服 务 器 的 通 信 。 我 们 可 以 对 主 机 对 外 通 信 的 目 的 I P 地 址 进 行 审 计 ， 基 于 开 源 的 威 胁 情 报 ， 排 查 目 的 I P 地 址 的 恶 意 性 。 那 也 就 是 说 ， 我 们 可 以 从 数 据 包 的 层 面 来 检 测 主 机 是 否 被 病 毒 感 染 。 实 验 方 法 实 验 方 法 为 验 证 笔 者 的 想 法 ， 笔 者 做 了 如 下 实 验 准 备 ： 1 . 数 据 采 集 数 据 采 集 笔 者 在 夜 深 人 静 的 时 候 ， 重 启 了 5 台 电 脑 ， 每 台 电 脑 上 采 用 w i r e s h a r k 抓 包 （ 重 启 电 脑 ， 是 为 了 保 证 流 量 的 纯 粹 性 ） ， 一 直 采 集 到 笔 者 第 二 天 一 大 早 来 将 抓 取 的 数 据 包 保 存 。 期 间 未 有 对 电 脑 的 任 何 其 他 操 作 。 这 么 做 ， 是 尽 可 能 地 排 除 一 些 干 扰 项 ， 便 于 后 面 的 分 析 。 2 . I P 地 址 分 析 接 口 地 址 分 析 接 口 对 数 据 包 的 解 析 和 基 于 威 胁 情 报 的 查 询 需 要 借 助 一 些 工 具 完 成 。 笔 者 基 于 以 前 的 积 累 ， 采 用 P y t h o n 的 d p k t 库 对 数 据 包 进 行 解 析 。 主 要 分 为 两 步 ， 一 是 提 取 数 据 包 中 的 I P 地 址 ， 二 是 对 I P 地 址 进 行 去 重 。 I P 地 址 恶 意 性 查 询 接 口 ， 笔 者 选 用 的 是 国 外 的 开 源 威 胁 情 报 社 区 A l i e n V a u l t 。 这 个 社 区 的 威 胁 情 报 做 的 很 全 面 ， 而 且 具 有 开 源 精 神 ， 不 会 限 制 查 询 次 数 （ 基 于 对 国 内 厂 商 的 认 识 ， 我 很 想 说 三 遍 ） ， A P I 查 询 接 口 的 使 用 也 非 常 方 便 。 首 先 在 A l i e n V a u l t 上 注 册 一 个 账 号 ， 只 需 要 邮 箱 验 证 ， 注 册 成 功 后 ， 访 问 ： h t t p s : / / o t x . a l i e n v a u l t . c o m / a p i ， 在 A P I 接 口 网 页 的 右 边 会 有 生 成 好 的 A P I _ K E Y ， 如 下 图 所 示 。
同 时 ， 在 页 面 上 点 击 P y t h o n   S D K ， 如 下 图 所 示 ， 会 直 接 进 入 基 于 P y t h o n 的 查 询 开 源 程 序 。 按 照 g i t h u b 上 的 安 装 说 明 ， 安 装 O T X v 2 依 赖 库 即 可 。 下 面 ， 来 讲 解 实 验 的 具 体 实 施 过 程 。 实 验 步 骤 实 验 步 骤 实 验 步 骤 共 分 为 3 步 ， 第 一 步 获 取 数 据 包 中 的 I P 地 址 ； 第 二 步 解 析 I P 地 址 的 地 理 信 息 （ 总 觉 得 国 外 I P 地 址 嫌 疑 更 高 ， 原 谅 ， 有 种 执 念 ） ； 第 三 步 查 询 I P 地 址 的 恶 意 性 。 笔 者 将 这 三 步 都 在 P y t h o n 脚 本 程 序 中 实 现 。 解 析 I P 地 址 和 I P 地 址 地 理 信 息 查 询 可 以 借 鉴 笔 者 的 [ 这 个 项 目 ] 。 这 里 重 点 说 一 下 如 何 利 用 A l i e n V a u l t 的 A P I 接 口 对 I P 地 址 的 恶 意 性 进 行 查 询 。 废 话 不 多 说 ， 直 接 上 代 码 ， 首 先 在 全 局 变 量 A P I _ K E Y 中 替 换 成 自 己 的 k e y ， 然 后 直 接 调 用 A l i e n V a u l t 的 函 数 接 口 ， 其 中 的 C h e c k I p ( ) 函 数 即 是 A l i e n V a u l t 给 出 的 样 例 函 数 ， 如 感 兴 趣 ， 可 以 在 源 代 码 中 查 看 。 下 面 开 始 运 行 程 序 :
p y t h o n   h o t _ i p . p y — p c a p f i l e = . / d a t a / o u t 5 0 0 . p c a p   - d   – c   # - d 为 提 取 目 的 I P 地 址 ， - c 为 对 i p 地 址 进 行 检 测 。 考 虑 到 时 间 因 素 ， 这 里 只 取 了 部 分 网 络 数 据 包 进 行 解 析 ， 由 动 图 可 看 出 ， 首 先 得 到 了 去 重 的 目 的 I P 地 址 ， 在 程 序 中 会 以 o u t _ I P . t x t 保 存 下 来 ； 然 后 解 析 I P 地 址 的 地 理 信 息 ， 在 程 序 中 会 以 i p _ l o c a t i o n . t x t 保 存 下 来 ； 最 后 排 查 I P 地 址 的 恶 意 性 ， 解 析 为 疑 似 恶 意 的 I P 地 址 ， 会 存 在 m a l i c i o u s _ r e s u l t s . t x t 文 件 中 。 下 面 打 印 出 m a l i c i o u s _ r e s u l t s . t x t 的 结 果 。 得 到 了 疑 似 恶 意 的 I P 地 址 ， 下 面 就 开 始 对 这 几 个 I P 进 行 分 析 。 数 据 分 析 数 据 分 析 可 以 看 到 ， 出 现 了 5 个 疑 似 恶 意 的 I P 地 址 ， 如 1 1 4 . 1 1 4 . 1 1 4 . 1 1 4 ， 我 们 都 知 道 是 国 内 的 域 名 服 务 器 ， 这 条 威 胁 情 报 ， 在 微 步 在 线 和 A l i e n V a u l t 上 都 能 查 到 ， 说 明 这 台 域 名 服 务 器 曾 经 被 利 用 来 做 过 些 什 么 。 下 面 ， 笔 者 举 一 例 ， 分 析 一 个 I P 地 址 ， 其 他 I P 地 址 就 可 以 类 似 的 分 析 了 。 对 1 0 4 . 1 8 . 2 4 . 2 4 3 美 国 的 这 个 I P 进 行 分 析 ， 首 先 访 问 h t t p s : / / o t x . a l i e n v a u l t . c o m / i n d i c a t o r / i p / 1 0 4 . 1 8 . 2 4 . 2 4 3 ， 这 是 A l i e n V a u l t 对 这 个 I P 地 址 的 分 析 ， 由 下 图 可 以 看 到 ， 疑 似 是 木 马 的 通 信 地 址 。
进 一 步 ， 点 击 T r o j a n 这 一 条 信 息 ， 进 去 页 面 ， 在 r e f e r e n c e 标 签 处 发 现 这 是 一 条 由 微 步 在 线 发 布 的 情 报 信 息 。 由 下 图 所 示 。 同 时 ， 这 个 I P 地 址 在 数 据 包 中 ， 体 现 出 如 下 通 信 过 程 。 就 这 些 查 询 都 看 不 出 太 多 异 常 。 那 么 是 否 可 以 通 过 这 个 I P 地 址 ， 找 到 产 生 它 的 程 序 文 件 呢 ？ 当 然 可 以 。 具 体 可 经 由 下
面 的 步 骤 得 到 ， 首 先 ， 通 过 I P 地 址 查 到 进 程 号 ， 打 开 d o s 或 者 p o w e r s h e l l 命 令 窗 口 ， 运 行 命 令 ： n e t s t a t   - a n o   |   f i n d s t r “ 1 0 4 . 1 8 . 2 4 . 2 4 3 ” ， 有 如 下 结 果 。 可 以 看 到 ， 该 进 程 的 进 程 号 为 5 2 0 0 ， 再 通 过 进 程 号 关 联 到 进 程 的 名 字 ， 运 行 命 令 ： t a s k l i s t   |   f i n d s t r   “ 5 2 0 0 ” ， 有 如 下 结 果 。 可 以 看 到 ， 是 W i n S t o r e . A p p . e x e 这 个 程 序 在 执 行 。 继 续 深 挖 ， 可 以 通 过 命 令 查 询 到 启 动 文 件 的 路 径 ， 运 行 命 令 ： w m i c p r o c e s s   l i s t   f u l l   |   f i n d s t r ” W i n S t o r e . A p p . e x e ” ， 有 如 下 结 果 。 这 就 直 接 找 到 了 产 生 这 个 I P 地 址 的 启 动 文 件 ， 由 图 中 可 以 看 到 ， 在 C : P r o g r a m   F i l e s W i n d o w s A p p s 这 个 目 录 下 。 下 一 步 就 可 以 对 这 个 文 件 的 恶 意 性 进 行 分 析 。 可 以 人 工 逆 向 分 析 ， 也 可 以 上 传 到 云 沙 箱 分 析 。 如 发 现 异 常 ， 就 需 要 对 这 台 电 脑 来 次 彻 底 检 查 了 。 本 文 到 此 为 止 ， 整 个 分 析 流 程 就 介 绍 完 了 ， 感 兴 趣 的 朋 友 还 可 以 对 其 他 I P 地 址 或 自 己 本 机 上 产 生 的 I P 地 址 进 行 分 析 ， 在 此 过 程 中 ， 相 信 会 发 现 很 多 不 一 样 的 东 西 。 最 后 ， 给 出 笔 者 这 次 实 验 的 程 序 代 码 。 实 验 代 码 ： h t t p s : / / g i t h u b . c o m / s c u - i g r o u p / c h e c k _ i p 总 结 总 结 本 文 所 描 述 的 实 验 ， 表 示 我 们 可 以 不 依 赖 于 杀 软 来 进 行 排 查 ， 为 发 现 主 机 异 常 提 供 了 另 一 种 方 式 。 结 合 当 前 流 行 的 威 胁 情 报 ， 也 可 以 自 己 来 排 查 主 机 中 的 异 常 ； 但 同 时 也 必 须 指 出 ， 威 胁 情 报 只 是 提 供 了 一 条 可 能 的 线 索 ， 是 否 是 真 正 的 异 常 还 需 一 定 的 专 业 知 识 来 确 认 。 同 时 ， 对 主 机 的 安 全 性 分 析 还 有 很 多 其 他 方 法 和 途 径 ， 笔 者 近 期 在 这 方 面 正 在 耕 耘 ， 大 家 如 有 新 的 想 法 ， 欢 迎 一 起 交 流 。 * 本 文 作 者 ： 本 文 作 者 ： s c u - i g r o u p ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理