20232937文兆宇 2023-2024-2 《网络攻防实践》实践八报告

news2024/11/18 3:36:46

20232937文兆宇 2023-2024-2 《网络攻防实践》实践八报告

1.实践内容

动手实践任务一
对提供的rada恶意代码样本,进行文件类型识别,脱壳与字符串提取,以获得rada恶意代码的编写作者,具体操作如下:

(1)使用文件格式和类型识别工具,给出rada恶意代码样本的文件格式、运行平台和加壳工具;
(2)使用超级巡警脱壳机等脱壳软件,对rada恶意代码样本进行脱壳处理;
(3)使用字符串提取工具,对脱壳后的rada恶意代码样本进行分析,从中发现rada恶意代码的编写作者是谁?

动手实践任务二:分析Crackme程序

任务:在WinXP Attacker虚拟机中使用IDA Pro静态或动态分析crackme1.exe和crackme2.exe,寻找特定的输入,使其能够输出成功信息。

分析实践任务一:

分析一个自制恶意代码样本rada,并撰写报告,回答以下问题:

1、提供对这个二进制文件的摘要,包括可以帮助识别同一样本的基本信息;

2、找出并解释这个二进制文件的目的;

3、识别并说明这个二进制文件所具有的不同特性;

4、识别并解释这个二进制文件中所采用的防止被分析或逆向工程的技术;

5、对这个恶意代码样本进行分类(病毒、蠕虫等),并给出你的理由;

6、给出过去已有的具有相似功能的其他工具;

7、可能调查处这个二进制文件的开发作者吗?如果可以,在什么样的环境和什么样的限定条件下?

分析实践任务二:

Windows 2000系统被攻破并加入僵尸网络

任务:分析的数据源是用Snort工具收集的蜜罐主机5天的网络数据源,并通过编辑去除了一些不相关的流量并将其组合到了单独的一个二进制网络日志文件中,同时IP地址和其他特定敏感信息都已经被混淆以隐藏蜜罐主机的实际身份和位置。回答下列问题:

1、IRC是什么?当IRC客户端申请加入一个IRC网络时将发送那个消息?IRC一般使用那些TCP端口?

2、僵尸网络是什么?僵尸网络通常用于什么?

3、蜜罐主机(IP地址:172.16.134.191)与那些IRC服务器进行了通信?

4、在这段观察期间,多少不同的主机访问了以209.196.44.172为服务器的僵尸网络?

5、那些IP地址被用于攻击蜜罐主机?

6、攻击者尝试攻击了那些安全漏洞?

7、那些攻击成功了?是如何成功的?

2.实践过程

动手实践一

首先进行查壳 发现是32位可执行程序,win平台,加壳用的是upx
在这里插入图片描述用脚本脱壳,发现修改了文件 防止一键脱壳
在这里插入图片描述
用010打开 发现修改了三个参数,只需要把JDR0改为UPX0 JDR1改为UPX1 JDR!改为UPX!即可

在这里插入图片描述
脚本一键脱

upx -d RaDa.exe

在这里插入图片描述ida打开查找字符串,发现作者名字
在这里插入图片描述

动手实践二

crackme1

ida打开 命令行传参 内容为 “I know the secret”
在这里插入图片描述运行一下 发现成功
在这里插入图片描述

crackme2

和crackme1类似,先比较自己的名字是不是crackmeplease,然后判断key是否一样,成功的话,打印一堆异或的数据
在这里插入图片描述这里直接改名 然后输入key 看看输出什么
在这里插入图片描述
输出了 Chocolate

分析实践一

用小辣椒查看一下基本信息
MD5:

CAAA6985A43225A0B3ADD54F44A0D4C7

在这里插入图片描述行为分析丢微步沙箱直接看 也可以用火绒剑慢慢看
文件操作:在c盘下保留备份
在这里插入图片描述
在这里插入图片描述
注册表:修改注册表进行自启动
在这里插入图片描述网络行为:有ddos攻击,涉及IP10.10.10.10 在目录下获取命令进行攻击
在这里插入图片描述

在这里插入图片描述

防止分析的技术包括加壳防止逆向分析,利用网站进行攻击,防止溯源,以及防止泄露攻击指令和信息,可以随时切断连接,保护自己。
留下后门,并且自启动是木马
在这里插入图片描述
大部分木马病毒都是通过frp 反弹shell进行攻击。如:Bobax
二进制文件的作者实践一已经分析过了:Raul Siles && David Perez

分析实践二

IRC是什么:

因特网中继聊天(Internet Relay Chat),一般称为互联网中继聊天,简称:IRC。它是由芬兰人Jarkko Oikarinen于1988年首创的一种网络聊天协议。经过十年的发展,世界上有超过60个国家提供了IRC的服务。IRC的工作原理非常简单,您只要在自己的PC上运行客户端软件,然后通过因特网以IRC协议连接到一台IRC服务器上即可。它的特点是速度非常之快,聊天时几乎没有延迟的现象,并且只占用很小的带宽资源。所有用户可以在一个被称为\Channel\(频道)的地方就某一话题进行交谈或密谈。每个IRC的使用者都有一个Nickname(昵称)。

申请加入网络时要发生昵称 口令和用户信息
使用端口:6667端口(明文传输)、6697端口(SSL加密)
僵尸网络是什么以及它的作用:

僵尸网络(Botnet)是一种网络安全威胁,指的是攻击者通过传播僵尸程序(bot程序)病毒,感染并控制互联网上的大量主机,从而形成的一个可一对多控制的网络。这些被感染的主机,也被称为僵尸计算机,可以通过一个控制信道接收攻击者的指令,从而执行各种恶意行为,如发送垃圾邮件、发起分布式拒绝服务攻击(DDoS)、盗窃数据、传播恶意软件、制造虚假点击率、进行加密货币挖矿等。僵尸网络的形成通常涉及多种传播方式,如主动漏洞攻击、邮件病毒等。僵尸网络之所以被称为“僵尸网络”,是因为感染的计算机在不知不觉中被控制,类似于中国古老传说中的僵尸群被驱赶和指挥,成为被人利用的工具。僵尸网络的规模和复杂性使其成为一种严重的网络安全威胁,对个人、企业和政府机构构成严重威胁。

蜜罐主机(172.16.134.191)的通信流量 用wireshark打开,并过滤6667和6697端口,查看相关流量

ip.src == 172.16.134.191 && tcp.dstport == 6667 || tcp.dstport == 6697

在这里插入图片描述通信ip经过上述过滤如下,发现下面这五个ip服务器与蜜罐主机进行了通信
在这里插入图片描述查看多少不同的主机访问了209.196.44.172的服务器,首先打开kali,用工具进行分流过滤

tcpflow -r botnet_pcap_file.dat 'host 209.196.44.172 and port 6667'

在这里插入图片描述找到对应的文件,输入命令查看不同主机的访问数量,发现数量为3462个

cat 209.196.044.172.06667-172.016.134.191.01152 | grep --text "^:irc5.aol.com 353" | sed "s/^:irc5.aol.com 353 rgdiuggac @ #x[^x]*x ://g" | tr ' ' '\n' | tr -d "\15" | grep -v "^$" | sort -u | wc -l

在这里插入图片描述继续查看哪些ip地址被用于攻击蜜罐主机

tcpdump -n -nn -r botnet_pcap_file.dat 'dst host 172.16.134.191' | awk -F " " '{print $3}' | cut -d '.' -f 1-4 | sort | uniq | more > ipaddr.txt;wc -l ipaddr.tx

在这里插入图片描述继续分析攻击者攻击了哪些漏洞
首先查看有哪些端口被攻击了

tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191' and tcp[tcpflags]== 0x12 | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq
tcpdump -r botnet_pcap_file.dat -nn 'src host 172.16.134.191' and udp | cut -d ' ' -f 3 | cut -d '.' -f 5 | sort | uniq

在这里插入图片描述TCP:135,139,25,445,4899,80
UDP:137
对于137端口 用wireshark查看,拿到了一些用户信息

udp.dstport == 137 && ip.dst == 172.16.134.191

在这里插入图片描述对于135和25端口,发现什么也没干

(tcp.dstport == 135 || tcp.dstport == 25)&& ip.dst == 172.16.134.191

在这里插入图片描述对于80端口,尝试了缓冲区溢出攻击

tcp.dstport==80 && ip.dst == 172.16.134.191

在这里插入图片描述对于139端口,没有发现什么有用的信息

tcp.dstport==139 && ip.dst == 172.16.134.191

对于445端口,可以发现有大量的数据,并且植入了PSEXESVC.EXE,用来进行远程连接,并且通过观察,发现建立成功,证明攻击者通过445端口渗透成功。

tcp.dstport==445 && ip.dst == 172.16.134.191

在这里插入图片描述
对于4899端口,该端口用来控制蜜罐主机

tcp.dstport==4899 && ip.dst == 172.16.134.191

在这里插入图片描述
在这里插入图片描述

3.学习中遇到的问题及解决

  • 问题1:靶机链接不上桥接网络
  • 问题1解决方案:重新配置该虚拟机的ip地址,并重启,可以成功连接到网络

4.实践总结

通过本次实验我学习了很多恶意软件检测的知识,可以利用ida来分析软件病毒,还可以通过各种小工具检测病毒的情况,同时还了解了wireshar的使用,在用wireshark分析病毒过程时,可以更进一步的学习整个病毒的流程,对我来说很有帮助。

参考资料

  • 《Java程序设计与数据结构教程(第二版)》
  • 《Java程序设计与数据结构教程(第二版)》学习指导

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.coloradmin.cn/o/1637377.html

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈,一经查实,立即删除!

相关文章

Eclipse MAT工具分析内存溢出

1、通过dominator_tree可以查看哪些对象大 可以看到com.codex.terry.entity.User对象有57万个 2、打开thread_overview查看内存溢出的代码

PyVista 3D数据可视化 Python 库 简介 含源码

Pyvista是一个用于科学可视化和分析的Python库 ;我认为它适合做一些网格数据的处理; 它封装了VTK(Visualization Toolkit)之上,提供了一些高级接口, 3D数据可视化变得更加简单和易用。 1.安装 pyvista&…

表格中斜线的处理

此处的斜线,不是用表格写的,但是也适用于表格,只是需要更改表格的样式,可以 按照如下处理,即可 呈现的效果:如图所示 template部分: <div class"header_detail custom"><div class"right">节次</div><div class"left">…

YARN详解

YARN 简介 YARN 是Yet Another Resource Negotiator的缩写。 YARN是第二代MapReduce,即MRv2,是在第一代MapReduce基础上演变而来的,主要是为了解决原始Hadoop扩展性较差,不支持多计算框架而提出的;通俗讲就是资源管理器. YARN核心思想: 将 MR1 中资源管理和作业调度两个功能分…

Javascript:Web APIs(一)

Javascript基础&#xff08;一&#xff09; Javascript基础&#xff08;二&#xff09; Javascript基础&#xff08;三&#xff09; Javascript基础已经结束&#xff0c;接下来我们将进入到整个Web API学习中&#xff0c;在此&#xff0c;我们将学习DOM操作&#xff0c;基本的…

Linux内核之页面映射到虚拟地址:insert_page用法实例(六十五)

简介&#xff1a; CSDN博客专家&#xff0c;专注Android/Linux系统&#xff0c;分享多mic语音方案、音视频、编解码等技术&#xff0c;与大家一起成长&#xff01; 优质专栏&#xff1a;Audio工程师进阶系列【原创干货持续更新中……】&#x1f680; 优质专栏&#xff1a;多媒…

卫星通信现状与展望三 -- 6G

作者:私语茶馆 6G星地一体远景规划 中国信通院《6G总体远景与潜在关键技术白皮书》指出6G将实现地面网络、不同轨道高度上 的卫星(高中低轨卫星)以及不同空域飞行器等融合而成全新的移动信息网络,通过地面网络实现城市热点常态化覆盖,利用天基、空基网络实现偏远地…

Flink学习(九)-jar 包提交给 flink 集群执行

一、界面执行 1&#xff0c;点击左侧的 submit new job&#xff0c;然后点击add New 2&#xff0c;粘贴程序入口&#xff0c;设置并行度 3&#xff0c;执行后&#xff0c;就可以在 taskManager 中找到相关任务了 二、控制台执行 在命令行中&#xff0c;在flink 的安装目录下&…

C++ 矩阵

目录 了解矩阵的数学原理&#xff08;大学线性代数&#xff09; 矩阵及转置矩阵 矩阵乘法 矩阵快速幂 相伴矩阵模板 [相伴矩阵,快速矩阵幂]CSES1722 Fibonacci Numbers 了解矩阵的数学原理&#xff08;大学线性代数&#xff09; 矩阵及转置矩阵 这里A就是一个矩阵&…

pyqt 按钮常用格式Qss设置

pyqt 按钮常用格式Qss设置 QSS介绍按钮常用的QSS设置效果代码 QSS介绍 Qt Style Sheets (QSS) 是 Qt 框架中用于定制应用程序界面样式的一种语言。它类似于网页开发中的 CSS&#xff08;Cascading Style Sheets&#xff09;&#xff0c;但专门为 Qt 应用程序设计。使用 QSS&am…

2024 五一杯高校数学建模邀请赛(C题)| 煤矿深部开采冲击地压危险预测 |建模秘籍文章代码思路大全

铛铛&#xff01;小秘籍来咯&#xff01; 小秘籍团队独辟蹊径&#xff0c;构建了这一题的详细解答哦&#xff01; 为大家量身打造创新解决方案。小秘籍团队&#xff0c;始终引领着建模问题求解的风潮。 抓紧小秘籍&#xff0c;我们出发吧~ 让我们看看五一杯的C题&#xff01; 完…

【展会邀请】百华鞋业邀您参加2024山东省休闲旅游产业展!

2024山东省休闲旅游产业展将于4月25日—27日在临沂国际博览中心精彩亮相。本届展会由山东省旅游行业协会、山东省文化产业发展协会主办&#xff0c;山东新琅琊投资发展集团有限公司承办的2024休闲旅游产业展&#xff0c;将在临沂国际博览中心精彩亮相。山东百华鞋业将作为临沂户…

MySQL中索引的数据结构

2.3.1. 索引数据结构 索引就是能够提高查询速度的一种数据结构&#xff0c;在数据插入时就进行了排序&#xff08;会影响插入和更新的性能&#xff09;&#xff0c;索引广泛使用的是B树索引。 B树索引结构&#xff1a; 目前是基于磁盘排序效率最高的数据结构&#xff0c;树非…

Leetcode—657. 机器人能否返回原点【简单】

2024每日刷题&#xff08;121&#xff09; Leetcode—657. 机器人能否返回原点 实现代码 class Solution { public:bool judgeCircle(string moves) {int rnum 0, lnum 0, unum 0, dnum 0;for(int i 0; i < moves.size(); i) {switch(moves[i]) {case R:rnum;break;c…

Electron+Vue3+Vite+ElectronForge整合-全部ts开发 - 一键启动两个服务 一键打包两个服务

说明 本文介绍一下 Electron Vue3 Vite Electron Forge 的高级整合操作。vue3 : 使用 TS 的语法开发&#xff1b; Electron : 使用 TS 的语法开发。 补充 &#xff1a; 目前Electron的开发还是以JS为主&#xff0c;不过我们可以直接使用TS开发&#xff0c;在执行和打包时&a…

MaskFormer

This repository has been archived by the owner on Aug 30, 2023. It is now read-only.不建议复现

linux系统的rsync命令实现本机到远程主机之间目录的复制和同步

一、rsync命令介绍 在Linux中&#xff0c;rsync 是一个强大的命令行工具&#xff0c;用于同步文件和目录。它可以在本地或通过网络在远程系统之间复制文件。 二、远程目录复制的条件 1、系统要已经安装rsync工具 要使用 rsync 复制远程目录&#xff0c;需要确保系统上安装了 …

高效率的做事方法?

高效率的做事方法可以帮助我们更好地管理时间和资源&#xff0c;以下是一些建议&#xff1a; 1.明确目标和计划&#xff1a; 在开始任何任务之前&#xff0c;先明确你的目标是什么。 制定一个详细的计划&#xff0c;包括步骤、时间表和预期结果。 将任务分解成小块&#xff0…

浅谈Agent AI智能体的未来

Agent AI智能体的未来非常广阔和潜力巨大。随着技术的发展和应用场景的不断拓展&#xff0c;我们可以期待以下几个方面的发展&#xff1a; 更加智能化&#xff1a;Agent AI智能体将会变得越来越智能&#xff0c;具备更强大的学习、推理和决策能力。它们可以通过大数据和机器学习…

修改word文件的创作者方法有哪些?如何修改文档的作者 这两个方法你一定要知道

在数字化时代&#xff0c;文件创作者的信息往往嵌入在文件的元数据中&#xff0c;这些元数据包括创作者的姓名、创建日期以及其他相关信息。然而&#xff0c;有时候我们可能需要修改这些创作者信息&#xff0c;出于隐私保护、版权调整或者其他实际需求。那么&#xff0c;有没有…