手机版做网站,怎么做网页长图,做调查的网站推荐,thinkphp做直播网站IDA Pro基本使用
1.DllMain的地址是什么?
打开默认在的位置1000D02E就是DllMain地址 按空格键可以看到图形化界面选择options、general勾选对应的选项在图像化也能看到
2.使用Imports 窗口并浏览到 gethostbyname#xff0c;导入函数定位到什么地址?
这里可以打开Impo…IDA Pro基本使用
1.DllMain的地址是什么?
打开默认在的位置1000D02E就是DllMain地址 按空格键可以看到图形化界面选择options、general勾选对应的选项在图像化也能看到
2.使用Imports 窗口并浏览到 gethostbyname导入函数定位到什么地址?
这里可以打开Imports 窗口 默认已经打开 找到对应的函数gethostbyname
双击进去可以看到对应的地址 idata:100163CC
3.有多少函数调用了gethostbyname?
点击函数位置快捷键ctrlx打开 其中type为p的为调用函数一共5个不同函数调用
4.将精力集中在位于0x10001757处的对 gethostbyname 的调用,你能找出哪个 DNS请求将被触
按G键跳转到对应的位置0x10001757
函数调用前将eax参数push进栈而pics.praticalmalwareanalys是对应的内容 add eax,0dh,是跳过前面[This is RDO]部分将指针指向pics.praticalmalwareanalys
56.IDA Pro 识别了在 0x10001656处的子过程中的多少个局部变量和参数
跳转到对应位置往上看发现一共有23个局部变量1个参数
7.使用 Strings 窗口来在反汇编中定位字符串\cmd.exe /c。它位于哪?
在String窗口找到对应字符串\cmd.exe /c 双击找到对应的位置为xdoors_d:10095B34
8.在引用\cmd.exe /c区域内发生了什么
点击上键头可以看到引用的字符串的地方 往上看发现字符串 并发现远程shell相关的字符串Remote Shell Session 说明这个与远程控制相关 同时往下看发现一系列的命令相关还是调用recv函数
9.在同样的区域在 0x100101C8 处看起来好像 dword 1008E5C4是一个全局变量它帮助决定走哪条路径。那恶意代码是如何设置dword1008E5C4的呢?(提示:使用dword 1808E5C4的交叉引用
按住G找到对应位置 双击进入使用ctrlx交叉引用找到影响这个全局变量的位置 进入发现受eax变量影响其中eax又是 call sub_10003695返回值 点击进入函数发现这个函数调用的是GetVersionExA函数然后验证平台是否是win32平台并返回
10.在位于0x1000FF58处的子过程中的几百行指令中一系列使用memcmp 来比较字符串的比较。如果对robotwork的字符串比较是成功的(当memcmp返回0)会发生什么?
当memcmp返回0调用call函数 访问注册表相应的位置
并将对应位置的东西通过send函数发送出去
11.PSLIST 导出函数做了什么?
主要是获取进程列表并进行下一步操纵。 在图像化界面分析 进入到call sub_100036C3函数 获取版本信息并判断是否是win32平台 查看当前版本是vista以上大于5是以上版本 继续分析左边分支 发现调用CreateToolhelp32Snapshot获取系统进程或线程列表
12.使用图模式来绘制出对sub10004E79的交叉引用图。当进入这个函数时,哪个API函数可能被调用?仅仅基于这些API函数你会如何重命名这个函数?
双击函数然后选择图交叉引用图 主要调用获取操作系统信息并发送走 右键编辑实现给函数改名
13.D1lMain 直接调用了多少个 Windows API?多少个在深度为2时被调用?
和上一步一样不过深度改为2可以看到具体调用
14.在0x10001358处有一个对Sleep(一个使用一个包含要睡眠的毫秒数的参数的API函数)的调用。顺着代码向后看如果这段代码执行这个程序会睡眠多久?
跳转到sleep函数位置 eax值影响首先获取30然后乘以1000最后是30000ms也就是30s
15.在0x10001701处是一个对socket的调用。它的3个参数是什么?
对应三个参数
16.使用MSDN页面的socket和IDAPro中的命名符号常量,你能使参数更加有意义吗?在你应用了修改以后参数是什么?
选中对应的数字选择如下方式。 17.搜索in指令(opcode 8xED)的使用。这个指令和一个魔术字符串 VXh 用来进行 VMware 检测。这在这个恶意代码中被使用了吗?使用对执行in指令函数的交叉引用能发现进一步检测VMware 的证据吗?
 找到对应in语句 点击进入 将eax值转化为可以理解的字符串发现VMXH相关字符 按空格找到对应函数 使用ctrlx找到交叉引用 进入到函数发现有对虚拟机进行检测如果检测到就不安装
18.将你的光标跳转到0x1001D988处你发现了什么?
发现一连串乱码数字
19.如果你安装了IDA Python插件(包括IDAPro的商业版本的插件)运行Lab05-01.py一个本书中随恶意代码提供的IDA ProPython脚本(确定光标是在0x1001D988处。)在你运行这个脚本后发生了什么?
编写脚本decoded.idc内容如下
#include idc.idcstatic main()
{auto ea ScreenEA(),b,i,decoded_byte;for (i0x0;i0x50;i){bByte(eai); decoded_byte b ^ 0x55;PatchByte(eai,decoded_byte);}
}将光标放在如下位置 选择file -- script file --选择对应文件 运行后字符串被转码
20.将光标放在同一位置你如何将这个数据转成一个单一的ASCI 字符串?
通过键盘A键
