恶意软件样本行为分析——Process Monitor和Wireshark_process monitor抓包

WinRAR  压缩包内文件直接打开后，有两种关闭方式：先关闭打开的文件，再关闭

打开的压缩包。另外一种方式是先关闭打开的压缩包，再关闭打开的文件。利用 Process Monitor  分析上述两种方式的异同点。

第二阶段：熟悉抓包工具 Wireshark的使用

熟悉 Wireshark  软件的使用，着重掌握 Wireshark  的过滤器使用。

使用 Wireshark  抓取登录珞珈山水 BBS  的数据包，并通过分析数据包获得用户名和 密码。

第三阶段：VMware的熟悉和使用

着重掌握 VMware  的网络设置方式，主要有 NAT  连接、桥接和 Host-Only  模式。 配置自己的木马分析环境。

第四阶段：灰鸽子木马的行为分析

熟悉灰鸽子木马的使用，利用灰鸽子木马控制虚拟机。

利用 Process Monitor  监控感染灰鸽子木马的被控端的文件行为和注册表行为。 利用 Wireshark  监控灰鸽子木马与控制端的网络通信。

提出灰鸽子木马的清除方案。

第五阶段：思考与实践

尝试对大白鲨木马或 PCShare  木马进行行为分析。

1.4 实验关键过程、数据及其分析

1.4.1熟悉 Process Monitor的使用

首先利用 Process Moni