实验内容
•schtasks、Sysmon对电脑进行系统检测，并分析
•对恶意软件进行静态分析，直接上传到网上，或者利用pe explore等软件
•对恶意软件进行动态分析，使用systracer，以及wireshark分析
实验问答
•1、如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
用主机自带的schtasks，或者下载Sysmon，就是实验做的那些东西来监控
•2、如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
wireshark抓包分析，systracer查看注册表信息
实验总结与体会
再一次刷新了恶意代码在我心中的地位，他们竟然可以悄无声息地在电脑里运行着。然后一些不知名的程序也在悄悄地运行着，拉低了我电脑的速度，怪不得会卡到爆炸
还有就是这次试验太坑了，做的时候真的是让人心累，只能庆幸自己不是小组长和课题负责人
实践过程记录
使用schtasks指令监控系统运行
•创建计划任务 "netstat"
•在c盘目录下查看netstatlog.txt的内容看有哪些进程在联网
然后有趣的事情发生了，我C盘里没有这个txt
然后我找到那个EXE打开发现是在监听的
然后同学告诉我可以输netstat -an >> c:xxx.txt建一个txt
然后真的有可是看不见进程的名字
于是我就很心累，借了同学的电脑做了一次
然后成功了
•在命令行中输入下列命令，就可以看见netstatlog.txt文件输出中的时间
•然后在点击开始输入“任务计划”打开任务计划程序的图形界面，在任务计划程序库中可以找到我们建立的netstat，在该任务下点击属性，编辑操作，将"cmd /c netstat -bn > c:
etstatlog.txt"替换为“c:
etstatlog.bat”，成功后再次打开c盘下的netstatlog.txt,就可以看见新加了时间
•结果如下
•查看联网的程序
使用sysmon工具监控系统运行
•在D盘建立文件Sysmoncfg.txt，并输入老师给的内容
•在命令行中输入：Sysmon.exe -i D:Sysmoncfg.txt
•打开“应用程序和服务日志->Microsoft->Windows->Sysmon->Operational”,以查看所得到的消息
•点击事件属性可以看到详细信息
使用virscan对恶意软件进行静态分析
•上传木马到网站，得到具体的内容信息包括注册表行为的改变，连接到具体的套接字等
使用PE explorer对恶意软件进行静态分析
•木马文件各个属性值
•各个section的属性值
•反汇编结果（看不懂）
•调用的动态链接库文件
使用systracer对恶意软件进行动态分析
•1：打开攻击机msfconsle，开放监听，在主机下对注册表、文件、应用情况进行快照，保存为Snapshot #1
•2：主机上下打开木马，回连kali，在主机下再次快照，保存为Snapshot #2
•3：kali中通过msf发送文件给主机，在主机下再次快照，保存为Snapshot #3
•4：kali中对win10靶机进行屏幕截图，win10下再次快照，保存为Snapshot #4
•快照结果
•启动回连时注册表发生变化
•启动回连时，新建了新的应用
使用wireshark对恶意软件进行静态分析
•设置IP过滤格式：ip.src192.168.88.129 or ip.dst192.168.88.129捕捉靶机回连kali时通过TCP的三次握手协议过程
•设置IP过滤格式：ip.src192.168.88.129 and ip.dst172.39.5.7捕捉靶机kali向虚拟机win7发送文件的数据包
但是我并没有捕捉到任何上诉两种中的一个包
心是累的
害怕自己没有回连成功，又重新做了一次，一样的结果
捕获了一堆没用的包
结果真是男默女泪
愉快地结束了实验
需要看一会儿小哥哥才可以抚平内心的创伤