记录一次DLL分析实战

记录一次DLL分析实战

1.VT查看分析报告

virustotal

全绿,没有报毒:

可以看到这个dll是32位的:

下面可以看它调用的其他dll:

以及它对外提供的函数接口:

其中RunCmd很可疑,看起来是调用cmd窗口的接口,后续需要重点关注

可以看到它联系的IP地址和域信息:

行为模块可以查看它恶意加载的流程:


2.判断文件是否加壳

使用 PEiD 可以查看该信息,如下无壳:

使用Exeinfo PE新一代查壳工具:

这款查壳工具的加壳特征库比较准确而且范围很广,如ThemIDA、WinLicense、VMProtect、ZProtect、Shielden都可以轻松识别出来,但对于具体加壳程序的版本都是模糊的


3.查看导入函数

用 Dependency Walker 可以看到导入函数

重点是 CreateProcessASleep 导入函数,这两个函数经常在后门程序中使用:

CreateProcessA 函数用于创建一个新的进程并执行指定的可执行文件。它是通过指定一组参数来启动新进程的,包括可执行文件的路径、命令行参数、安全属性等。该函数返回一个布尔值,表示新进程是否成功创建

Sleep 函数用于使当前线程暂时休眠一段指定的时间。它接受一个以毫秒为单位的时间参数,并把当前线程从运行状态转为休眠状态,直到指定的时间过去后再恢复运行


4.查看是否有任何其他文件或基于主机的迹象

使用 strings -n 4 -nobanner xxx.dll 指令查看 xxx.dll 中的字符串

如下,除了已知的 CreateProcessA 和 Sleep,我们还注意到 exec 和 sleep。exec 可能用于通过网络给后门程序传送命令 ,再利用 CreateProcess 函数运行某个程序 。sleep 可能用于让后门程序进入休眠模式


5.使用工具IDA Pro进行字符串分析

通过 View > Open Subviews > Strings,或者 Shift + F12 打开 Strings 窗口,使用 Strings 窗口,查看dll中的字符串:

相关推荐
Harbor Lau1 分钟前
Linux常用中间件命令大全
linux·运维·中间件
漫谈网络19 分钟前
基于 Netmiko 的网络设备自动化操作
运维·自动化·netdevops·netmiko
꧁坚持很酷꧂1 小时前
Linux Ubuntu18.04下安装Qt Craeator 5.12.9(图文详解)
linux·运维·qt
小诸葛的博客2 小时前
详解Linux中的定时任务管理工具crond
linux·运维·chrome
一默19912 小时前
CentOS 7.9升级OpenSSH到9.9p2
linux·运维·centos
keep intensify3 小时前
Linux常用指令
linux·服务器·php
BranH3 小时前
Linux系统中命令设定临时IP
linux·运维·服务器
极小狐3 小时前
极狐GitLab 项目功能和权限解读
运维·git·安全·gitlab·极狐gitlab
宁酱醇3 小时前
GitLab_密钥生成(SSH-key)
运维·ssh·gitlab
秋风起,再归来~4 小时前
【Linux庖丁解牛】—进程优先级!
linux·运维·服务器