20242406 2026-2027-1 《网络与系统攻防技术》实验四实验报告
一.基础知识
- PE 文件与加壳脱壳技术
PE 是 Windows 平台可执行文件格式。恶意代码常使用 UPX 等壳对程序进行压缩、加密，修改程序入口点，以此规避杀毒软件特征查杀、增加逆向分析难度；脱壳是恶意代码逆向分析的前置步骤。
- 逆向工程基础
使用 IDA Pro 开展静态逆向分析，将二进制机器码还原为汇编指令、函数流程图；通过字符串窗口检索、关键 API 函数定位（strcmp、URLDownloadToFile等），挖掘程序功能逻辑，是识别恶意代码行为的重要手段。
- 恶意代码分类与 C2 通信原理
区分后门、僵尸网络 Bot 程序；僵尸主机会和 C2 服务器建立通信，接收攻击者下发控制指令，通信协议常见为 IRC、HTTP。
- 网络取证与流量分析基础
IRC 协议多用于早期僵尸网络 C2 通信，默认 TCP 6667 端口；掌握 Wireshark 流量过滤语法，同时了解 tcpdump、tcpflow 等流量提取工具，通过捕获、解析网络流量，还原恶意程序的通信、攻击行为，判断攻击是否成功。
二.实验内容
1.识别恶意代码的文件类型标识，进行脱壳与字符串提取。
2.使用IDA Pro静态或动态分析所给exe文件，找到输出成功信息的方法。
3.分析自制恶意代码样本并撰写报告。
4.取证分析实践。
三.实验过程
3.1恶意代码文件类型标识、脱壳与字符串提取
3.1.1分析原始rada样本
在kali虚拟机中使用file命令分析目标文件的类型和结构
UDP 137 端口 NBNS NBSTAT 查询，属于攻击者的预扫描，用来探测目标主机 NetBIOS 信息，判断目标是否为 Windows 主机、是否开启 NetBIOS 服务，为后续 SMB 系列攻击做信息收集，该流量仅为探测报文，不涉及漏洞利用。
（8）总结：
五类攻击：
① UDP 137 NBNS NBSTAT 扫描：NetBIOS 名称查询，属于前置信息侦察，收集目标主机 NetBIOS 信息，判断是否为 Windows 主机、是否开启 SMB 相关服务，为后续 SMB 攻击做准备。
② TCP139，445 SMB IPC空会话漏洞：利用IPC命名管道，尝试匿名连接，通过 SAMR 接口枚举系统账号。
③TCP 445 PsExec 远程代码执行：依托 SMB 通道，上传 PSEXESVC.EXE，创建服务实现远程控制。
④TCP 4899 Radmin 远程控制弱认证漏洞：Radmin 远控服务认证缺陷，攻击者建立远控会话。
⑤TCP 80 IIS Unicode 目录遍历漏洞：构造带../的 HTTP 请求，尝试调用 cmd.exe 执行系统命令。
四.问题及解决方案
问题一：无法使用“超级巡警之虚拟机自动脱壳器”。
解决方法：尝试将文件夹放入金山毒霸信任区，再次启动成功
问题二：在使用IDA Pro软件时，快捷键g无法使用。
解决方法：逐行寻找过于繁杂，查询学长的实验报告后定位查找位置，快速找到，快捷键无法使用原因未知。
五.学习感悟与思考
本次实验让我亲眼观察到多类经典网络攻击的完整流量特征，理解了攻击从信息侦察到漏洞利用的完整链路。实验中我掌握了流量过滤、特征检索的方法，能够结合报文内容判断 NetBIOS 扫描、SMB 枚举、PsExec、Radmin 远控、IIS 目录遍历等攻击是否成功。
我认识到大部分攻击成功的根源是主机开放高危端口、认证配置不安全，缺少防火墙和安全策略限制。同时我也体会到流量分析需要扎实的协议基础，读懂 TCP、SMB、HTTP 报文是识别恶意行为的前提。
网络安全攻防是一个持续对抗的过程，防护需要从关闭无用端口、加强身份认证、过滤异常访问等多个角度落实。今后我会继续夯实网络协议知识，熟悉更多恶意流量特征，提升安全分析和应急研判能力。
参考资料：
Wireshark 数据包分析实战
20232406实验四实验报告