4.2 运行病毒和进程监视慕课视频播放-计算机病毒分析（慕课）-MOOC慕课视频教程-柠檬大学

4.2知识点：运行病毒和进程监视

1．DLL格式文件的运行

1、在所有的Windows版本中都包含rundll32.exe程序，它提供了一个运行DLL的平台

Export值必须是一个DLL文件导出函数表中的函数名或者序号。

2、DLL形态的恶意代码也可能需要被安装成一个服务，有时就像下面这个例子中的一样，在ipr32x.dll中导出了InstallService函数,ServiceName参数必须提供给恶意代码，让它能被安装起来并运行起来。而在Windows系统中启动指定的服务，可以使用net start命令。

2．进程监视器的介绍
进程监视器（Process Monitor）是Windows系统下的高级监视工具，它提供一种方式来监控注册表、文件系统、网络、进程和线程行为。它结合并增强了两种工具的功能：文件监视器FileMon和注册表监视器RegMon。

3．进程监视器的显示

进程监视器显示了一个可配置栏，包含了每个事件的不同信息，如事件序列号、时间戳、引发事件的进程名、事件操作、事件使用的路径、事件结果等。

进程监视器监视mm32.exe实例

图展示了在一台机器上运行mm32.exe恶意代码所监视的事件列表。通过阅读事件操作栏，能很快告诉你mm32.exe在系统上做了什么操作，包括注册表和文件访问。

4. 进程监视器的过滤

程序过滤：只监控系统上运行的一个可执行程序，这个功能对病毒分析特别有用，因为可以对你运行的恶意代码设置一个过滤器。

调用过滤：针对特定的系统调用设置过滤，比如RegSetValue、CreateFile、WriteFile,或者其他可疑或具有破坏性的调用。

设置进程监视器的过滤器

正如你在图中前两行看到的，我们通过进程名和操作进行过滤。我们添加了一个进程mm32.exe,以及操作RegSetValue的过滤器。

注意：过滤器仅仅用于显示过滤，当你运行恶意代码时，所有产生的系统调用都会被捕获，包括原始可执行程序释放恶意程序的系统调用。

5、进程监视器的自动过滤功能

进程监视器提供默认下面四种过滤功能

注册表：通过检查注册表操作，你能辨别一个恶意程序是怎样把自己添加到注册表中的。

文件系统：检查文件系统能显示恶意程序创建的所有文件，或者它使用的配置文件。

进程行为：检查进程行为能告诉你恶意程序是否启动了其他的进程。

网络：识别网络能向你展示恶意程序监听的任意端口。

计算机病毒分析（慕课）课程列表：

第一章、计算机病毒分析概论

-1.1 计算机病毒的定义和类型

--计算机病毒的定义和类型

-1.2 计算机病毒分析的目标

--计算机病毒分析的目标

-1.3 计算机病毒分析技术概述

--计算机病毒分析技术概述

-第一单元习题

第二章、静态基础分析技术

-2.1 杀毒软件

-2.2 哈希值：恶意代码指纹

-2.3 特征字符串

-2.4 加壳与混淆

-2.5 PE文件格式

-2.6 链接库与函数

-第二单元习题

-实验报告

第三章、虚拟机中分析计算机病毒

-3.1 虚拟机的结构

--3.1 虚拟机的结构

-3.2 创建虚拟机

--3.2 创建虚拟机

-3.3 使用虚拟机

--3.3 使用虚拟机

-第三单元习题

第四章、动态基础分析技术

-4.1 沙箱分析

--4.1 沙箱分析

-4.2 运行病毒和进程监视

--4.2 运行病毒和进程监视

-4.3 Process Explorer和Regshot

--4.3 Process Explorer和Regshot

-4.4 网络模拟

--4.4 网络模拟

-第四单元习题

-实验报告

第五章、x86反汇编

-5.1 逆向工程

-5.2 x86体系结构

-5.3 CPU寄存器

-5.4 汇编指令

-5.5 栈操作

-第五单元习题

第六章、IDA Pro

-6.1 加载可执行文件

-6.2 IDA Pro窗口

-6.3 IDA Pro 导航

-6.4 交叉引用

-6.5 函数分析

-6.6 使用图形选项

-6.7 增强反汇编

-第六单元练习

-实验报告

第七章、识别汇编中的C语言代码结构

-7.1 识别汇编中的C语言代码结构

-7.2 识别if分支结构

-7.3 识别循环

-7.4 识别函数调用

-7.5 识别switch结构

-7.6 识别数组、结构体、链表

-第七单元练习

-实验报告

第八章、分析恶意Windows程序

-8.1 Windows API

-8.2 Windows 注册表

-8.3 网络API

-8.4 跟踪病毒运行

-8.5 互斥量

-8.6 异常处理、模式、Native API

--8.6 异常处理、模式、Native API

-第八单元练习

-实验报告

第九章、动态调试

-9.1 调试器介绍

-9.2使用调试器

-9.3使用断点暂停执行

-9.4 断点类型

-9.5异常

-9.6调试器修改可执行文件

-第九单元练习

第十章、Ollydbg

-10.1 Ollydbg加载恶意代码

-10.2 Ollydbg的窗口

-10.3 内存映射

-10.4 查看线程、栈、代码

-10.5 断点

-10.6加载DLL、跟踪

-10.7异常处理、修补

-10.8分析shellcode、协助功能

--10.8 分析shellcode、协助功能

-10.9插件、脚本调试

--10.9插件、脚本调试

-第十单元练习

-实验报告

第十一章、使用WinDbg调试内核

-11.1驱动与内核代码

-11.2使用WinDbg

-11.3微软符号表

-11.4内核调试

-11.5Rootkit

-第十一单元作业

第十二章、恶意代码行为分析

-12.1下载器、启动器和后门

--12.1下载器、启动器和后门

-12.2远程控制和僵尸网络

--12.2 远程控制和僵尸网络

-12.3登录凭证窃密器

--12.3 登录凭证窃密器

-12.4存活机制和windows注册表

--12.4 存活机制和windows注册表

-12.5特洛伊木马化二进制文件

--12.5特洛伊木马化二进制文件

-12.6DLL加载顺序劫持

--12.6 DLL加载顺序劫持

-12.7权限提升与用户态Rootkit

--12.7权限提升与用户态Rootkit

-第十二章练习

第十三章、病毒的隐蔽启动

-13.1启动器与进程注入

-13.2进程替换

-13.3Hook注入

-13.4Detours与APC注入

-第十三单元练习

第十四章、数据加密

-14.1加密算法的目的和简单的加密算法

--14.1加密算法的目的和简单的加密算法

-14.2简单的加密策略

-14.3常见的加密算法

-14.4自定义加密

-14.5解密

-第十四单元练习

期末考试

-期末考试

勒索病毒防治方法的讨论

-勒索病毒的讨论

4.2 运行病毒和进程监视在线视频