第六章这个编号在很多体系化的安全学习材料里往往是个分水岭。前面几章还在讲文件格式、汇编基础、工具界面怎么点到了“恶意代码分析实战”这一章画风立刻就变了——扔给你一个来路不明的样本要求在尽量不触发风险的前提下判断它想干什么、干了什么、留下了什么痕迹。我第一次啃这一章的时候最大的感受不是难而是“散”知识点单拎出来都懂凑到一起就不知道该从哪儿下手。后来带着几批新人一起过这一章慢慢摸索出一套比较顺的推进顺序也踩了不少坑。这篇笔记就把我理解的第六章拆开讲清楚恶意代码分析到底分析什么、静态分析和动态分析各自解决什么问题、隔离环境怎么搭、样本行为怎么还原、分析报告怎么写才有价值。不管你是刚接触这块的新手还是已经能跑通流程但结论总说不圆的老手下面这些内容应该都能对上你的某个卡点。1. 这一章到底在讲什么从“看懂样本”到“还原行为”很多人对恶意代码分析的第一印象是“逆向”觉得非得把汇编读到每一行都明白才算数。真做过一段时间就会发现绝大多数日常分析根本不需要读到那个粒度。第六章真正想训练的能力是在信息不完整、时间有限、风险不可控的条件下快速给出一个可信的行为判断。这个判断可能只需要回答三个问题这东西会不会自己启动、它跟外界通信吗、它动了系统里哪些地方。把这三个问题答清楚一份初步分析就已经成立了。1.1 静态分析与动态分析两条腿走路缺一不可静态分析指的是不执行样本只从文件本身提取信息文件类型、哈希、节区结构、字符串、导入导出函数、反汇编代码。它的优势是安全、可反复、能看到“隐藏的分支”劣势是遇到加壳、混淆、动态解密就很容易卡住你看到的可能只是一堆无意义字节。动态分析则相反把样本放到隔离环境里跑起来观察它真实的进程行为、文件写入、注册表改动、网络连接。它能看到静态分析看不到的运行时解密结果但缺点是“跑一遍只看到一条路径”样本如果有环境检测可能压根不给你看真东西。我一般的习惯是静态先行、动态验证、再回到静态确认。先用静态分析拿到文件指纹和初步线索形成几个假设再在隔离环境里跑动态看实际行为是否印证假设最后回到反汇编里定位关键代码把“它做了什么”升级成“它怎么做的”。这个来回的过程才是这一章真正想让你形成的肌肉记忆。只做静态容易纸上谈兵只做动态容易漏掉条件分支两条腿走路才稳。1.2 为什么这一章是分水岭工具会点不等于会分析前面的章节更像“工具说明书”每个工具解决一个具体问题。第六章开始考的是方法论面对一个陌生样本先看什么、后看什么、什么情况下该放弃当前路径换一条。举个很典型的场景样本导入表里几乎没什么有用函数但字符串里出现了好几个系统函数名。新手会认为“这样本啥也没干”有经验的人一眼就知道这是运行时动态解析 API真正干活的东西藏在后面。工具给出的信息是一样的差别在于你会不会把多个弱信号拼成一个强判断。还有一个更隐蔽的差别证据链意识。动态监控看到样本写了某个目录下的文件这只是一个观察不是结论。结论应该是“样本在启动后约三秒向该目录写入了一个可执行文件并在随后的注册表操作中把该路径写入了自启动项”。有观察、有时间顺序、有因果关系这才叫分析。第六章的很多练习本质上就是在逼你把零散观察整理成证据链。1.3 前置知识与学习路径别一上来就啃硬骨头这一章对前置知识的要求其实不低但也没有想象中那么高。我的建议是把前置分成三档档位需要掌握的内容掌握到什么程度必备操作系统基础、进程与线程概念、文件与注册表的基本操作能看懂监控工具里的事件含义必备可执行文件的基本结构头部、节区、导入表能用结构查看工具读出关键字段加分x86 汇编基础、常见 Windows API 的作用能读懂入口点附近几十行反汇编加分网络协议基础DNS、HTTP能看懂抓包记录里的请求与响应新手最容易犯的错是拿着一个真实样本直接开干结果卡在第一步“这文件到底是什么格式”。比较稳妥的路径是先用自己写的小程序或者教学用的无害样本练手把工具链跑顺、把观察记录的习惯养起来再去碰真实样本。顺序反了容易既打击信心又不安全。2. 分析环境搭建把风险关进笼子里恶意代码分析的第一原则不是“分析得多深”而是“别把自己搭进去”。我见过太多人图省事直接在自己的工作机上双击样本运气好只是装了一堆不需要的东西运气不好就是整台机器重装。第六章里关于环境的部分看起来枯燥但它是整章的地基地基没打好后面所有操作都是在冒险。2.1 隔离环境的三种常见形态与选型逻辑常见的隔离形态大致有三种各有适用场景我把它们放在一起对比一下形态隔离强度可观测性恢复速度适合场景独立物理机高中慢需要观察硬件相关行为、对抗性较强的样本虚拟机中高快快照回滚绝大多数日常分析、教学练习受限容器/沙箱中低高极快批量初筛、快速判断样本类型虚拟机是性价比最高的选择原因是快照。分析前打一个干净快照跑完样本直接回滚几十秒就能恢复到初始状态。这个能力在反复试错的时候太重要了你可能会为了观察某个分支跑五六遍样本没有快照就得每次重装系统时间全浪费在等待上。但虚拟机也有它的问题样本可能识别出自己身处虚拟机。常见的识别点包括特定的硬件标识、驱动文件、进程列表、甚至屏幕分辨率。所以我在搭建环境时会有意识地做两件事一是去掉明显的虚拟机痕迹改主机名、去掉共享目录、关闭剪贴板共享二是准备一台物理机作为“对照组”当虚拟机里样本行为异常安静时换物理机再跑一次确认。注意无论如何配置隔离环境都不应该连接到你日常使用的网络里。用独立的网络段或者干脆断网需要观察网络行为时再单独搭一个可控的模拟服务。2.2 快照、网络与共享目录的取舍这三个东西是新手最容易配错的地方我把踩过的坑列一下。快照不是越多越好。有人习惯每做一步就打一个快照结果回滚的时候自己都忘了哪个是干净的。我的做法是只保留两个一个是“干净基线”装好系统和监控工具、没跑过任何样本另一个是“分析中”在基线基础上按需安装额外工具。分析结束后把“分析中”删掉回到基线下次接着用。网络配置决定了你能看到什么。完全断网时样本的网络行为会直接失败你只能看到“它尝试连接但失败了”如果给它一个能出网的环境又能看到完整的通信内容但风险随之上升。折中方案是搭一个模拟服务本地起一个能响应 DNS 查询和 HTTP 请求的服务把样本的流量引过来既能记录请求内容又不会真的把数据发出去。这个做法在观察下载行为和外联地址时特别有用。共享目录和剪贴板共享必须关掉。这两条通道是样本从隔离环境逃逸到宿主机的经典路径很多人图方便开着共享拷文件结果样本顺着共享目录写了个东西到宿主机上。要传文件就用只读的挂载方式或者干脆用镜像文件拷进去。2.3 我的环境清单与踩坑记录环境里我常备的东西不多但每一样都有明确用途系统镜像干净、打好补丁、快照管理、进程与文件监控工具、注册表监控工具、抓包工具、结构查看工具、字符串提取工具、反汇编工具、调试器。工具本身用顺手的那一套就行不必追求最新版本稳定比花哨重要。踩过的坑里印象最深的是时间同步问题。虚拟机的时钟有时会因为挂起恢复而漂移导致监控日志里的时间戳对不上还原时间线的时候非常痛苦。后来我养成了分析前先校准系统时间的习惯日志顺序一下子就清楚了。另一个坑是监控工具本身被样本针对有些样本会检测常见监控工具的进程名发现就休眠不干活。解决办法是给监控工具改个不显眼的名字或者用内核层的监控方式减少被发现的概率。3. 静态分析实战不运行样本也能读出很多信息静态分析的价值在于“零风险地拿到最多线索”。一个样本还没跑你就能通过文件结构、字符串、导入表判断出它大概属于哪一类、用了什么技术、可能做什么事。这一节按我实际操作的顺序展开从最外层的文件指纹一路走到反汇编。3.1 文件指纹与格式识别第一步该看什么拿到样本的第一件事永远是算哈希、看类型。哈希MD5 与 SHA256 都算一遍是样本的唯一身份证后面所有记录都要带上它否则你分析到一半换了个文件自己都不知道。类型识别不能只看扩展名样本最喜欢用的伪装就是改扩展名一个.jpg很可能是个可执行文件。识别真实类型最可靠的办法是看文件头魔数可执行文件开头是MZ后面某个偏移处指向PE标识文档类和压缩包各有自己的魔数。结构查看工具能直接把这些字段读出来我通常重点看这几项目标架构32 位还是 64 位决定了后面用哪套分析工具。编译时间戳可以辅助判断样本的新旧但要注意这个字段是可以伪造的只能当参考。节区数量和名称正常编译出来的节区名称比较规整出现奇怪名字或者节区数量异常往往意味着加壳或手工构造。入口点位置入口点如果不在代码节里基本可以确定被处理过。这一步花不了几分钟但能帮你快速排除掉一批误判也能给后面的分析定方向。3.2 字符串与导入表快速定位行为线索字符串提取是我认为性价比最高的静态手段。样本里的字符串往往直接暴露意图文件路径、注册表键名、外联地址、用户提示语、错误信息。提取的时候要同时看单字节和宽字符两种编码很多针对 Windows 的样本用的是宽字符只提一种会漏掉一半内容。字符串里我最关注几类形似域名的片段、看起来像路径的片段、疑似加密密钥或者分隔符的片段、以及明显的调试信息残留。有一次练习里样本表面上什么网络相关导入都没有但字符串里赫然躺着一个完整的请求路径顺着这条线索才在反汇编里找到手工拼接请求的逻辑。这就是字符串的价值它不讲道理但经常直接给答案。导入表则是另一条主线。导入函数少得可怜、但字符串里出现大量系统函数名的多半是动态解析导入表里集中出现文件操作、注册表操作、进程创建、网络通信这几类函数的行为方向基本就定了。我把常见导入按用途归了下类做初步判断时对着看就行用途典型函数类别说明文件操作创建、写入、删除、移动常见于释放器、下载器注册表操作打开键、写值、查询值常见于持久化进程与线程创建进程、创建线程、注入相关常见于启动器、注入行为网络通信建立连接、发送接收、下载常见于外联与下载服务相关创建服务、打开服务管理器常见于提权与驻留3.3 反汇编与反编译从入口点开始读反汇编这一步新手最容易迷失在“几千行代码从哪看”里。我的经验是永远从入口点开始但不要死磕入口点。入口点附近通常是编译器的初始化代码和运行库的启动逻辑真正的恶意逻辑往往在更后面的函数里。比较高效的读法是先在入口点找它调用了哪些自己写的函数把调用关系理出来再挑最可疑的几个深入。判断“可疑”的几个信号函数里出现了大量字符串引用、函数体里手工拼接了函数名再调用、函数里有明显的循环解密逻辑、函数末尾调用了跳转类指令。这些信号单独出现不一定说明问题但凑在一起就值得重点看。读的时候不用逐行翻译成高级语言能说出“这段在拼一个路径”“这段在遍历进程列表”“这段在解密一段数据”就足够了。提示反汇编工具里的交叉引用功能一定要用起来。从一个可疑字符串反查谁引用了它往往比从头读代码快十倍。3.4 加壳与混淆的识别与应对加壳是静态分析绕不开的坎。识别的信号比较固定节区名称异常、代码节可写可执行、入口点落在非代码节、文件原始大小和内存展开大小差异巨大、以及熵值偏高。熵值这个东西可以简单理解成“数据的混乱程度”正常代码的熵值大概在 6 左右接近 8 的基本可以判定是压缩或加密过的数据。遇到加壳硬啃静态是浪费时间正确做法是先脱壳再分析或者干脆转到动态分析。脱壳的思路分两种一种是找通用的脱壳脚本自动处理适合常见壳另一种是手工跟到原始入口点再 dump 内存适合自定义壳。手工脱壳的关键是找到“壳把控制权交还给原始程序”的那个瞬间通常表现为一段大跨度的跳转或者一次明显的内存写入后跳转。这个点找起来需要一点耐心但找到之后后面就顺了。混淆和加壳不太一样混淆不改文件结构改的是代码的可读性插入大量无用指令、打乱控制流、用间接调用隐藏真实目标。对付混淆没有银弹只能靠动态分析配合关键 API 断点让程序自己把解密后的代码暴露出来。4. 动态分析实战让样本自己“说出来”静态分析再细也有看不到的东西运行时解密的配置、条件触发的分支、依赖外部环境的动作。动态分析就是把这些藏起来的部分逼出来。这一节按照“监控什么、怎么记录、怎么还原”的顺序讲。4.1 进程、文件、注册表三类监控动态分析的三大基础监控是进程、文件、注册表。我习惯的观察顺序是先看进程因为进程创建往往标志着样本进入了下一个阶段再看文件因为释放和下载都会落盘最后看注册表因为持久化通常发生在这里。进程监控重点关注三件事样本自己创建了哪些子进程、子进程的命令行参数是什么、有没有出现“进程自己创建自己”的情况。命令行参数里经常藏着关键信息比如被注入的目标进程名、要执行的命令。看到样本调用了系统自带的命令行工具去执行一条长命令基本可以判定它在做间接执行。文件监控要关注写入的位置和文件类型。写到临时目录的一般是中间产物写到系统目录的可能是替换或者劫持写到自己创建的子目录里的往往是配置或者后续载荷。文件名也值得留意很多样本会用看起来很正常的名字伪装比如伪装成系统组件或者常见文档。注册表监控主要盯自启动相关的键值和系统配置的修改。样本把自身路径写进自启动项这是最经典的持久化手法。除了自启动还要关注它对安全相关配置的修改这类改动往往意味着它想关掉某些防护。4.2 网络行为观察与流量记录网络行为是判断样本“想跟谁说话”的关键。观察的时候分三层DNS 查询、连接建立、应用层内容。DNS 层能看到它想解析哪些域名连接层能看到目标地址和端口应用层能看到具体的请求内容。实际操作中经常遇到的问题有两个。第一个是域名解析不出来样本就一直重试什么也看不到。这时候可以在本地模拟服务里配一条解析记录把域名指到可控地址样本就能继续往下走。第二个是流量被加密看到一堆二进制。遇到这种情况不用死磕解密先记录连接的地址、端口、数据包大小和发送频率这些元信息本身就能支撑判断比如固定间隔的小包往往是心跳。记录的时候一定要带时间戳而且要统一时区。我吃过亏日志里一半是本地时间一半是标准时间还原时间线的时候对得头都大了。4.3 API 监控与调试器断点技巧API 监控能看到样本调用了哪些系统函数、参数是什么、返回值是什么。这个信息量比单纯的进程文件监控大得多因为它能看到“意图”。比如看到样本调用了创建文件的函数但文件监控里没有对应记录说明这次调用可能失败了或者路径被条件判断跳过了。调试器断点是更精细的手段。我常用的断点位置有几类进程创建、文件写入、网络连接、注册表写入。下断点的时机很关键太早会停在无关的初始化代码里太晚又会错过关键动作。我的习惯是先让样本跑几秒观察它进入稳定状态后再下断点然后触发它的行为。还有一个技巧是在内存写入处下断点用来抓自解密或者解包的瞬间。很多样本会先把一段加密数据写进内存再跳过去执行。在写入操作上设断点等它写完内存里就是解密后的内容直接 dump 出来就能分析。4.4 行为日志的整理与时间线还原动态分析跑完你会得到一堆日志。直接把这些日志贴进报告是没有价值的必须整理成时间线。我的做法是按时间顺序把关键事件列出来每条事件包含时间、类型、对象、结果四个要素。整理完之后再看样本的行为模式就很清楚了先干什么、再干什么、失败后怎么处理。整理过程中要特别注意因果关系。日志里两件事挨得近不代表有因果关系。比如文件写入和注册表写入几乎同时发生要确认是不是同一段代码触发的。确认的办法是看调用栈或者回静态分析里找对应的代码位置。这一步做扎实了结论才站得住。5. 常见问题与排查实录这一节是我这些年带人做练习时被问得最多的问题整理成清单方便对照。有一半以上的“分析不出来”原因其实不在技术难度而在环境或者流程上。5.1 样本跑不起来或者秒退这是最高频的问题。可能的原因有这么几类缺少运行库依赖、检测到分析环境主动退出、需要特定参数或配置文件才进入主逻辑、以及样本本身就是个下载器没有网络就直接退出。排查顺序我一般是这样先换一个更“干净”的环境再跑一次排除环境差异然后看进程监控里有没有短暂出现的子进程很多样本会先起一个进程探测环境失败就退出再检查样本所在目录有没有它需要的配套文件最后考虑给一个模拟的网络环境让它能完成第一阶段动作。如果全都试过还是不动那就要怀疑它有比较强的环境检测需要上调试器跟到退出点看它是被哪个判断条件拦下来的。5.2 反调试与环境检测怎么绕反调试的手段五花八门但检测点相对集中检查调试器是否附加、检查代码是否被修改、检查运行时间是否异常、检查是否存在分析工具的痕迹。绕过的基本思路是找到检测点、改掉判断结果、让它以为一切正常。具体操作上检测调试器附加的那类可以在调试器里把相关标志位改掉检测时间差的那类可以在时间获取函数上做处理返回一个正常值检测进程列表的那类可以把分析工具改名或者隐藏。这些操作听起来琐碎但做多了会形成套路看到样本卡在某处不动就知道大概是哪类检测在起作用。注意绕过检测的操作要在隔离环境里做改的是样本运行时的状态不要动宿主机上的任何系统配置。5.3 分析结论不可复现怎么办这个问题比想象中普遍。同一个样本第一次跑看到了外联行为第二次跑什么都没有。原因通常是样本有随机性或者环境依赖可能每次运行生成不同的配置可能依赖某个外部服务是否可达也可能有时间或者次数条件。解决办法是多跑几次、固定环境、记录差异。每次运行前恢复到同一个快照跑完记录观察到的行为跑三到五次之后对比就能看出哪些行为是稳定的、哪些是随机的。稳定的部分才是分析结论的主体随机的部分要单独说明。这个过程虽然笨但比拍脑袋下结论可靠得多。5.4 常见问题速查表现象可能原因排查方向双击无反应缺少依赖、环境检测、需要参数换环境重试、看子进程、下调试器跟退出点运行后自动退出反调试触发、网络不可达检查调试器痕迹、搭模拟服务看不到网络行为断网、域名解析失败、延迟触发配模拟解析、延长观察时间文件监控无记录样本未进入主逻辑、写入被拦截确认执行阶段、检查权限反汇编看不懂加壳、混淆、动态解析看熵值和节区、转动态分析日志时间乱序系统时钟漂移分析前校准时间6. 分析报告怎么写才有价值分析做完不等于工作完成写不出让人看懂的结论前面做的都白费。第六章里关于报告的部分篇幅不大但实际工作中它的权重很高因为看报告的人往往不做分析他们要的是能直接拿去用的结论。6.1 报告的基本结构我习惯的结构是四块样本基本信息、行为摘要、技术细节、处置建议。基本信息包括哈希、文件类型、大小、首次发现时间行为摘要用三五句话把最关键的结论说清楚比如“样本运行后释放文件到临时目录并写入自启动项随后尝试连接外部地址”技术细节展开静态和动态的观察附上关键证据处置建议给出清理方法和排查方向。写摘要的时候有个原则先结论后证据。看报告的人时间有限前几句话没抓住重点后面写得再细也不会看。我见过不少报告前面三页都是工具截图结论藏在最后一页这种写法在实际工作里基本等于没写。6.2 从行为到 IOC 的提炼IOC 是分析报告里最实用的部分指的是可以用来做检测和排查的特征。常见的有文件哈希、文件路径、注册表键值、域名、IP 地址、互斥体名称、服务名称。提炼的时候要注意区分稳定特征和一次性特征哈希是最稳的但样本一变就失效文件路径和注册表键值相对稳定域名和地址可能经常换。还有一个细节IOC 要带上下文。单独给一个路径别人不知道它是什么时候被创建的、创建后干了什么。写成“样本启动后在临时目录创建该文件随后将该路径写入自启动项”这个 IOC 才有排查价值。6.3 我在实际分析中的几点体会做得多了会发现恶意代码分析这件事技术只占一半另一半是流程和记录。技术可以慢慢学流程不规范会一直吃亏。我现在的习惯是分析开始前先建一个记录文件把哈希、环境信息、每一步操作和时间都记下来分析过程中随时往里补观察。这个习惯救过我很多次尤其是隔了几天再回头看的时候没有记录基本等于从头再来。另外一点体会是不要追求一次分析到位。样本的行为可能有很多分支第一次分析能搞清楚主干就够了剩下的分支可以在后续工作中逐步补充。追求完美往往导致进度拖延而分析结论的价值是有时效性的。最后分享一个小技巧分析完成后把整个流程用几句话复述一遍如果复述得磕磕绊绊说明某个环节你其实没搞明白回去补。这个方法看着土但对梳理思路特别有效我用它发现了自己不少“以为懂了其实没懂”的地方。
