恶意代码工具简介

我最近在计算机上进行了安全检查，发现很多问题. 可以肯定的是，已经植入了一些恶意病毒程序. 幸运的是，我们可以及时检查出来，否则我们将丧生！让我们分析一下恶意代码的技术.

1）任何以某种方式对用户，计算机或网络造成破坏的软件都可以视为恶意代码，包括计算机病毒，木马，蠕虫，内核套件，勒索软件，软件等. 恶意代码以不同的形式出现，但是分析恶意代码的技术是普遍的.

2）恶意代码分析可用于编写基于主机和基于网络的检测签名. 基于主机的签名（也称为感染迹象）用于检测受感染生物体上的恶意代码. 这些标志通常是由恶意代码或注册表的特定修改创建或修改的文件. 网络签名用于通过检测网络流量来检测恶意代码. 无需恶意代码分析即可创建网络签名.

3）恶意代码分析有两种方法: 静态分析和动态分析. 静态分析方法是一种在不运行时分析恶意代码，而动态分析方法则需要运行恶意代码的技术.

1. 使用哈希值（分析恶意代码的指纹）

散列是用于唯一识别恶意代码的常用方法. 恶意代码样本通过哈希程序生成唯一标识样本的唯一哈希值. MD5算法是用于恶意代码分析的最常用哈希函数. 使用md5deep计算Windows操作系统随附的telnet.exe程序的哈希值.

第二，使用搜索字符串方法来识别恶意代码

程序中的字符串是可打印字符的序列. 例如，从字符串中搜索打印的消息，连接的URL等，是获取程序功能提示的一种简单方法. 您可以使用Strings程序在可执行文件中搜索可打印的字符串. 这些字符串通常以ASCUII或Unicode格式存储.

ASCII字符串的每个字符使用1个字节，而Unicode的每个字符使用2个字节. 输入命令“ strings.exe C: \ WINDOWS \ regedit.exe”进行查看.

三，PE文件头和部分

PE文件包含导入的功能和一系列部分:

.text包含CPU执行指令. 一般来说，它是程序中唯一的可执行部分，也是唯一包含代码的部分.

.rada包含导入和导出功能信息，存储只读数据，还包含.idata和.edata节以存储导入和导出信息.

.data包含程序的全局数据，可以从程序中的任何位置进行访问.

.rsrc包含可执行文件使用的资源，例如图标，图片，菜单项和字符串.

下图使用PEview分析“ C: \ WIN DO W S \ system 32 \ cacl.exe”软件.

您会喜欢的

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-292313-1.html