Phương pháp phân tích mã độc
PH NG PHÁP PHÂN TÍCH MÃ Đ CƯƠ Ộ
Phân tích mã đ cộ g m hai ph ng pháp chính là phân tích tĩnh và ồ ươ
phân tích đ ng. Trong bài này, chúng ta s tìm hi u v nh ng công c , ộ ẽ ể ề ữ ụ
ph ng pháp phân tích mã đ c, d a trên n n t ng c th là Windows.ươ ộ ự ề ả ụ ể
Phân tích đ ng mã đ c là gì?ộ ộ
Nó là ph ng pháp phân tích cách ho t đ ng c a mã đ c khi mã đ c đ c ươ ạ ộ ủ ộ ộ ượ
th c thi, xem xét mã đ c ho t đ ng ra sao, lây lan nh th nào, nó k t n i ự ộ ạ ộ ư ế ế ố
đ n đâu, cài đ t nh ng gì vào h th ng, thay đ i thành ph n nào nh m ế ặ ữ ệ ố ổ ầ ằ
m c đích ngăn ch n vi c lây nhi m, t o ra các d u hi u nh n d ng hi u ụ ặ ệ ễ ạ ấ ệ ậ ạ ệ
qu .ả
Vi cệ phân tích mã đ cộ đòi h i quá trình theo dõi liên t c và l p đi l p l i. ỏ ụ ặ ặ ạ
N u th c hi n trên h th ng thi t b th t s m t r t nhi u công s c và ế ự ệ ệ ố ế ị ậ ẽ ấ ấ ề ứ
th i gian. Nó cũng có th gây thi t h i l n cho c h th ng c a b n. Vì ờ ể ệ ạ ớ ả ệ ố ủ ạ
th , b n c n ph i thi t l p m t môi tr ng an toàn cho vi c ch y mã đ c ế ạ ầ ả ế ậ ộ ườ ệ ạ ộ
đ có th thu th p thông tin v mã đ c m t cách t t nh t.ể ể ậ ề ộ ộ ố ấ
Process Monitor
Process Monitor là m t công c giám sát tiên ti n cho Windows hi n th h ộ ụ ế ể ị ệ
th ng t p tin theo th i gian th c, ho t đ ng c a Registry và process / ố ậ ờ ự ạ ộ ủ
thread. Nó k t h p các tính năng c a hai ti n ích Sysinternals là Filemon ế ợ ủ ệ
(giám sát file) và Regmon (giám sát registry), Process Monitor có c ch l cơ ế ọ
khá ph c t p mà không s d ng c ch l c đ n gi n theo chu i . Các tính ứ ạ ử ụ ơ ế ọ ơ ả ỗ
năng m nh m đ c nh t c a nó s làm cho Process Monitor tr thành m t ạ ẽ ộ ấ ủ ẽ ở ộ
ti n ích c b n trong b công c x lý s c và b công c tìm ki m ph nệ ơ ả ộ ụ ử ự ố ộ ụ ế ầ
m m đ c h i.ề ộ ạ
WireShark
Wireshark là m t công c theo dõi , ki m tra và phân tích các lo i mã đ c, ộ ụ ể ạ ộ
thông tin m ng đ c phát tri n b i Gerald Combs. WireShark v t tr i v ạ ượ ể ở ượ ộ ề
kh năng h tr các giao th c (kho ng 850 lo i). Giao di n c a Wireshark ả ỗ ợ ứ ả ạ ệ ủ
là m t trong nh ng giao di n ph n m m phân tích gói d dùng nh t do đó ộ ữ ệ ầ ề ễ ấ
nó thân thi n v i ng i dùng. Vì nó có th b t đ ng đi c a gói tin, nên ệ ớ ườ ể ắ ườ ủ
nosconf đ c ng d ng vào quá trìnhượ ứ ụ phân tích l h ng, mã đ c.ỗ ổ ộ
Tuy nhiên, đi m y u l n nh t c a nó khiể ế ớ ấ ủ phân tích các mã đ cộ là không
cho bi t chính xác ng d ng nào t o ra gói tin g i đi, mà ch bi t gói tin đó ế ứ ụ ạ ử ỉ ế
có thành ph n gì, g i t đâu, và đ n đâu… Vì th , c n k t h p v i nh ng ầ ử ừ ế ế ầ ế ợ ớ ữ
công c khác nh Process Monitor.ụ ư
OllyDBG
OllyDBG hay còn g i t t là Olly là công c debug 32-bit r t ph bi n cho ọ ắ ụ ấ ổ ế
Microsoft Windows. Nh n m nh vào phân tích mã nh phân làm cho nó đ c ấ ạ ị ặ
bi t h u ích trong tr ng h p ngu n không có s n. B n có th t i v và ệ ữ ườ ợ ồ ẵ ạ ể ả ề
s d ng nó mi n phí.ử ụ ễ
Nh giao di n tr c quan và d s d ng nên Olly phù h p v i ng i dùng ờ ệ ự ễ ử ụ ợ ớ ườ ở
m i trình đ khác nhau. Nó h tr debug file th c thi và file th vi n. Thêmọ ộ ỗ ợ ự ư ệ
vào đó, script và b plug-in c a nó r t phong phú vì có m t c ng đ ng s ộ ủ ấ ộ ộ ồ ử
d ng đông đ o. M t s plug-in quan tr ng đó là ụ ả ộ ố ọ Olly
Advanced, PhantOm,StrongOD. Chúng cung c p các c ch anti-anti debug,ấ ơ ế
hook vào m t s hàm quan tr ng, n ti n trình-tên c a s Ollydbg … nh mộ ố ọ ẩ ế ử ố ằ
làm cho ch ng trình b debug không bi t mình đang b debug.ươ ị ế ị
Immunity Debugger
Cũng gi ng nh OllyDbg, tuy nhiên ngôn ng k ch b n màố ư ữ ị ả Immunity
Debugger h tr là Python, m t ngôn ng r t m nh, t đ ng debug và ỗ ợ ộ ữ ấ ạ ự ộ
đ c gi i b o m t, phân tích th ng dùng. Nó gi m nh và debug nhanh ượ ớ ả ậ ườ ả ẹ
đ tránh b fail trong quá trìnhể ị phân tích mã đ cộ ph c t p. Immunity ứ ạ
Debugger cũng có giao di n đ n gi n, d hi u.ệ ơ ả ễ ể
Windbg
Windbg: là m t công c debug m nh m ộ ụ ạ ẽ đ c phát hành b i Microsoft. ượ ở
Nó có kh năng debug trên c user-mode và kernel-mode . WinDbg cung ả ả
c p debug cho h t nhân Windows, trình đi u khi n ch đ h t nhân, và ấ ạ ề ể ế ộ ạ
d ch v h th ng, cũng nh các ng d ng ch đ ng i dùng và trình đi uị ụ ệ ố ư ứ ụ ế ộ ườ ề
khi n.ể
WinDbg có th xem mã ngu n, thi t l p các đi m ng t, xem các bi n (bao ể ồ ế ậ ể ắ ế
g m c các đ i t ng C ++), ngăn x p d u v t, và b nh . C a s ồ ả ố ượ ế ấ ế ộ ớ ử ổ
Debugger Command c a nó cho phép ng i dùng th c hi n ủ ườ ự ệ nhi u l nh. ề ệ
Tuy nhiên đ s d ng đ c WinDbg đòi h i có nhi u kinh nghi m v ể ử ụ ượ ỏ ề ệ ề
Reverse Engineering cũng nh programming.ư
GDB
GDB, trình g l i D án GNU, cho phép b n xem nh ng gì đang di n ra ỡ ỗ ự ạ ữ ễ
bên trong m t ch ng trình khác trong khi nó th c hi n – ho c m t ch ngộ ươ ự ệ ặ ộ ươ
trình khác đang làm gì vào lúc nó r i.ơ
GDB có th th c thi b n b c (c ng v i nh ng th khác đ h tr nh ng ể ự ố ướ ộ ớ ữ ứ ể ỗ ợ ữ
đi u này) đ giúp b n b t l i trong quá trìnhề ể ạ ắ ỗ phân tích các mã đ cộ
– B t đ u ch ng trình c a b n, xác đ nh b t c đi u gì có th nh ắ ầ ươ ủ ạ ị ấ ứ ề ể ả
h ng đ n ho t đ ng c a nó.ưở ế ạ ộ ủ
– Hãy d ng ch ng trình c a b n theo các đi u ki n quy đ nh.ừ ươ ủ ạ ề ệ ị
– Ki m tra nh ng gì đã x y ra, khi ch ng trình c a b n đã d ng l i.ể ữ ả ươ ủ ạ ừ ạ
– Thay đ i m i th trong ch ng trình c a b n, do đó b n có th th ổ ọ ứ ươ ủ ạ ạ ể ử
nghi m v i vi c đi u ch nh hi u ng c a m t l i và ti p t c tìm hi u v ệ ớ ệ ề ỉ ệ ứ ủ ộ ỗ ế ụ ể ề
m t l i khác.ộ ỗ
Ch ng trình đ c debug có th đ c vi t b ng Ada, C, C ++, Objective-ươ ượ ể ượ ế ằ
C, Pascal (và nhi u ngôn ng khác). Nh ng ch ng trình này có th đ c ề ữ ữ ươ ể ượ
th c hi n trên cùng m t máy nh GDB ự ệ ộ ư ho c trên m t máy khác (t xa). ặ ộ ừ
GDB có th ch y trên ph bi n nh t c a UNIX và Microsoft Windows ể ạ ổ ế ấ ủ
bi n thế ể
V i s phát tri n không ng ng c a các ngành công ngh thông tin nh hi nớ ự ể ừ ủ ệ ư ệ
nay vi c b o v thông tin cá nhân, t ch c, qu c gia, các h th ng máy tínhệ ả ệ ổ ứ ố ệ ố
trong công nghi p… kh i mã đ c tr nên r t c p thi t. Bài vi t này đã gi iệ ỏ ộ ở ấ ấ ế ế ớ
thi u v i ệ ớ v cácề ph ng pháp, công cươ ụ phân tích mã đ cộ. Nh nh ng ờ ữ
ph ng pháp y, b n có th hi u rõ h n v các lo i mã đ c. T đó rút ra ươ ấ ạ ể ể ơ ề ạ ộ ừ
cách phòng ch ng và di t chúng. Hi v ng nó giúp ích đ c cho b n.ố ệ ọ ượ ạ
có thể bạn quan tâm
Phương pháp phân tích tài chính
3
775
355
Tài chính doanh nghiệp
3
(New)
Một số phương pháp phân tích tài chính doanh nghiệp:
4
942
404
Tài chính doanh nghiệp
4
(New)
Phân tích hiệu ứng của phá giá nội tệ lên cán cân thanh toán -Phương p...
20
1.074
383
Kinh tế quản lý
20
(New)
Nghiên cứu tổng quan cơ sở lí luận dạy học tích cực, các phương pháp d...
129
780
330
Kinh tế quản lý
129
(New)
PHƯƠNG PHÁP NGHIÊN CỨU VÀ CÁC KẾT QUẢ PHÂN TÍCH TỚI CHIẾN LƯỢC PHÁT TR...
47
793
325
Kinh tế - Thương mại
47
(New)
Phân tích phương pháp chế tạo phụ gia đa chức năng sử dụng cho vữa và...
23
809
437
Kỹ thuật
23
(New)
Hướng dẫn Giải bài tập SGK Toán lớp 8: Phân tích đa thức thành nhân tử...
3
784
340
Giải bài tập các môn
3
(New)
Tóm tắt luận án thạc sĩ: Tổng quan các phương pháp khai thác dữ liệu,...
19
986
395
Thạc sĩ cao học
19
(New)
thông tin tài liệu
Phân tích mã độc gồm hai phương pháp chính là phân tích tĩnh và phân tích động. Trong bài này, chúng ta sẽ tìm hiểu về những công cụ, phương pháp phân tích mã độc, dựa trên nền tảng cụ thể là Windows.
Mở rộng để xem thêm
tài liệu mới trong mục này
tài liệu hot trong mục này
tài liệu giúp tôi
Nếu bạn không tìm thấy tài liệu mình cần có thể gửi yêu cầu ở đây để chúng tôi tìm giúp bạn!
×
