[分析引擎开发笔记]读写监控

2013-12-14 Nie.Meining Life

只拦截NtWriteFile/NtReadFile对很多程序是无效的(例如记事本notepad.exe),因为这些程序采用了文件映射的方式,例如记事本同志:

20170331190144.png

评论(0) 浏览(476)

[分析引擎开发笔记]漏洞攻击检测

2013-12-14 Nie.Meining Life

分析引擎的细粒度监控特性使其具备了控制流完整性校验的能力,对于代码注入、ROP、Heap Spray等常见攻击方法实现了检测,效果还不错。

1111111.png3333333.png

评论(0) 浏览(374)

[分析引擎开发笔记]样本上传功能

2013-12-14 Nie.Meining Life

对于Android系统,处理方法比较简单,上传样本直接用adb装进去即可。

2.7版截图_上传样本_android22.png

对于Windows,采用光驱的方式以只读形式置入。

2.7版截图_上传样本2_winxp.png2.7版截图_上传样本4_winxp.png

评论(0) 浏览(468)

[分析引擎开发笔记]监控数据呈现

2013-12-14 Nie.Meining Life

由于分析引擎监控条目非常多,需要展现的数据有的是ASCII编码、有的是UNICODE编码,我也没有精力去一个个指定,因此在展示之前调用了一个xxx函数来识别编码格式。不过由于xxx函数是基于统计学的方法猜的,实践证明猜得也不是很准啊……后期得改进一下。

对于API的情况,可以先用xxxA、xxxW、NtXXX等特征初步划分一下,然后再xxx,就准确多了。

aaaaaaa.png

评论(0) 浏览(475)

[分析引擎开发笔记]自动测试

2013-12-14 Nie.Meining Life

目前分析引擎提供的无交互自动分析服务结合了一些简单的自动测试功能,包括胡乱随机点击鼠标、键盘等、模拟U盘插入拔出等。感觉还是不够,尤其是针对一些有UI的样本,还需要加强人工操作模拟。

Android方面目的性更明确一些,模拟一些短信、电话、GPS之类的通常都能触发样本行为了。

2.7版截图_远程桌面2_android22.png2.7版截图_行为监控记录4_android22.png

评论(0) 浏览(435)

Powered by emlog