More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to HITCON GIRLS 成大講座 基礎知識（蜘子珣）
Similar to HITCON GIRLS 成大講座 基礎知識（蜘子珣） (20)
More from HITCON GIRLS
More from HITCON GIRLS (20)
Recently uploaded
Recently uploaded (11)
HITCON GIRLS 成大講座 基礎知識（蜘子珣）
- 1. HITCON GIRLS 講座 惡意程式分析與密碼學： 深⼊入你不可不知的資訊安全 成功⼤大學 2016.4.28 HITCON GIRLS 講座
- 2. 今⽇日⼤大綱 • 蜘⼦子珣 - 惡意程式分析基礎知識 • Turkey - 惡意程式分析實際操作 • 阿⽑毛 - 好親切密碼學
- 3. 前情提要 • 今天是初學者課程 • 很多的專有名詞，都會簡單介紹！ • 但是深⼊入瞭解後你會有⼀一個新世界：P • 希望這場演講可以讓你感受到 • 「分析惡意程式其實很有趣」 • 「資訊安全並不難」
- 4. 安安你好 蜘⼦子珣 HITCON GIRLS 副總召 HITCON GIRLS 讀書會 惡意程式分析組組⻑⾧長 NISRA 前前前會⻑⾧長
- 6. Outline • 社群經驗分享 • 資訊安全學習地圖 • HITCON GIRLS 惡意程式分析組
- 7. 社群經驗分享
- 9. 想像⼀一下 • 你有沒有曾經對某個名詞感興趣 • 突然覺得有點想知道原理 • 閱讀完之後，發現你掌握了 60% • 剩下的 20% 你有點困惑、感覺抽象、模模糊糊 • 最後的 20% 你看不懂
- 10. 想像⼀一下 • 在世界遙遠的另外⼀一頭，有個⼈人 • ⼀一樣懂60%，恰好包含你覺得有點模糊的那20% • 接下來問題來了 1. 你要怎麼認識這個⼈人？ 2. 你要怎麼發現他也在研究這項名詞？
- 11. 為何答案是社群？ • 社群的形成就是「想學」的衝勁 • 從學習與討論出發 • 每個社群都有各⾃自的⾵風格 • 社群代表著，這裏有許多⼈人可以成為你的夥伴
- 12. 為何答案是社群？ • 「蛤？我上課已經這麼累了，還要學習？」 • 還記得剛剛假想情境的出發點嗎？ • 「你對某個名詞感興趣」 • 出發點是，你的興趣
- 14. 我⾃自⼰己的⼼心路歷程ˊ・_・ˋ • ⾯面對惡意程式分析，我也是初學者 • 曾經對某個名詞感興趣→逆向⼯工程、反組譯 • 讀書會⺫⽬目前在閱讀「逆向⼯工程核⼼心原理」 • 勇敢學習(๑•̀ㅂ•́)✧و
- 16. HITCON GIRLS 資安⼥女孩 • 由⼀一群對資安有興趣，想學習更多技術的⼥女孩們 所組成。 • 成⽴立於2014年10⽉月 • 2014年12⽉月 Workshop • 2015年7⽉月讀書會發表
- 19. 2015年7⽉月讀書會發表
- 20. HITCON GIRLS 讀書會 • 讀書會 • 我們分成不同的組別，進⾏行討論、學習和互補，惡意程 式分析組針對 Malware 進⾏行分析，內容包含動態⼯工 具、反組譯和惡意⾏行為的討論。 • Web PT 組 • Android PT 組 • 網路安全組 • CTF 組
- 21. HITCON GIRLS 讀書會 • 粉絲團 • https://www.facebook.com/HITCONGirls/ • 公開交流區 • https://www.facebook.com/groups/ HITCONGIRLS/ • 歡迎加⼊入交流！
- 22. 資訊安全學習地圖
- 23. 資安學習地圖 • 資訊收集 Information Gathering • 網路安全 Network Security • 網站與網⾴頁應⽤用程式安全 Web Security • 系統安全 System Security • 加密與解密 Cryptography • 惡意程式檢測 Malware Detection • 逆向⼯工程 Reversing Engineering • 數位鑑識 Digital Forensics • ⾏行動裝置 Mobile Devices
- 24. 資安學習地圖 • 資訊收集 Information Gathering • 網路安全 Network Security • 網站與網⾴頁應⽤用程式安全 Web Security • 系統安全 System Security • 加密與解密 Cryptography • 惡意程式檢測 Malware Detection • 逆向⼯工程 Reversing Engineering • 數位鑑識 Digital Forensics • ⾏行動裝置 Mobile Devices
- 25. 資安學習地圖 • 資訊收集 Information Gathering • 網路安全 Network Security • 網站與網⾴頁應⽤用程式安全 Web Security • 系統安全 System Security • 加密與解密 Cryptography • 惡意程式檢測 Malware Detection • 逆向⼯工程 Reversing Engineering • 數位鑑識 Digital Forensics • ⾏行動裝置 Mobile Devices
- 26. 資安學習地圖 • 「數位鑑識」 Digital Forensics • 覺得家裡好像有被侵⼊入過，於是做⼀一些檢查。 • 「惡意程式檢測」 Malware Detection • 地板上發現⼀一顆炸彈，移動到安全環境做檢驗。 • 「逆向⼯工程」 Reversing Engineering • 理解運作原理、威脅性，反向尋找兇⼿手
- 28. 學習框架 • 何謂惡意程式？ • 分析惡意程式⼩小撇步 • 從什麼層⾯面著⼿手？ • 逆向⼯工程：靜態與動態⼯工具
- 29. 第⼀一件事情： 什麼是惡意程式？
- 30. 何謂惡意程式 Malware • 定義 • 蓄意撰寫來進⾏行惡意⾏行為的程式 • 特性 • 強⾏行安裝、抵制移除、擅⾃自修改設定 • 干擾或佔⽤用系統資源 • ⾮非允許狀況下竊取使⽤用者資料
- 31. 何謂惡意程式 Malware • 簡單來說，惡意程式就是 • 會干擾你使⽤用電腦的軟體！ • 會暗地從你⾝身上偷⾛走資料、帳密甚⾄至是⾦金錢！ • 嚴重的話甚⾄至間接影響你的⾝身⼼心健康！
- 32. Grayware 的存在 • 具備下列特徵的應⽤用程式： • 具有擾⼈人的⾏行為模式 • 其實好像沒損失，但⼜又有點困擾 • 介於「好軟體」與「壞病毒」的灰⾊色地帶
- 33. 常⾒見的惡意程式種類 • 分類⽅方式太多種了！ • 運作⽅方式：⽊木⾺馬、蠕蟲、勒索軟體⋯⋯ • 惡意⺫⽬目的：竊取資料、詐騙、破壞⋯⋯ • 格式：EXE、DLL⋯⋯ • 相關技術：加殼、DLL Injection、API Hook • 既獨⽴立⼜又可以並存，複雜奔放的⽣生態圈ಠ_ಠ
- 35. 惡意程式分析環境 • 使⽤用虛擬環境分析 • 避免觸發程式後，因感染造成真實傷害 • 使⽤用 Snapshot • 記錄乾淨的環境，⽅方便每次分析後還原 • 建⽴立內網連線
- 39. 第三件事情： 我們要分析什麼？
- 41. 惡意⾏行為⼊入⾨門 • 關⼼心下述部分 • Registry Key • Process • Network • File system
- 42. 惡意⾏行為⼊入⾨門 • 關⼼心下述部分 • Registry Key • Process • Network • File system
- 43. ⼩小知識 - Registry • Registry ⼜又稱登錄檔或註冊表 • ⽤用於儲存系統和應⽤用程式的設計資訊 • C:Windowsregedit.exe
- 44. ⼩小知識 - 啟動項 • 有些程式每次開機就會⾃自動啟動，這些程式的資 訊都必須寫進啟動項！ • Registry 中開機先執⾏行的項⺫⽬目，就是啟動項 • HKLMSOFTWAREMicrosoftWindows CurrentVersionRun
- 46. 惡意⾏行為⼊入⾨門 • 關⼼心下述部分 • Registry Key • Process • Network • File system
- 47. ⼩小知識 - Process • 觸發程式 → 被載⼊入記憶體 → 產⽣生程序了！ • 程序 （process）可以說就是正在運作中的程式 PID 執⾏行者的權限 屬性參數 所需程式碼與 相關資料 記憶體中程序產⽣生的相關資料 使⽤用者 執 ⾏行 載⼊入記憶體 磁碟中的程式
- 50. 惡意⾏行為 - 常⾒見⾏行為懶⼈人包 • 修改啟動項 HKLM…CurrentVersionRun • 有 Process 但你卻看不到執⾏行畫⾯面 • 讀取系統資訊 • 連線⾄至特定的 IP 或 DNS • ⾃自我刪除、複製檔案
- 52. 惡意程式分析⼯工具 • Behavior Tool • Autoruns • Process Monitor / Process Explorer • TCP View / TCPLogView • WireShark • Online Sandbox • Virustotal • Comodo • ⾃自⾏行架設 Sandbox • Cuckoo • CaptureBat
- 53. 分析⼯工具 • 都是免費提供，⼤大家可以下載來玩玩看 • Autoruns • Process Explorer • TCP View 乾淨狀態 觸發惡意程式 系統時間 會多什麼呢？ 污染狀態
- 54. 分析⼯工具 - Autoruns
- 55. 分析⼯工具 - Autoruns • 檢查 Registry Key 是否被新增、修改
- 57. 分析⼯工具 - ProcessExplorer • 檢閱記憶體中在執⾏行的所有程序及其⺫⽬目錄 • 作⽤用類似於⼯工作管理員 • 優點在可顯⽰示動態連結函式庫（DLL）檔、簽章
- 58. 分析⼯工具 - TCPView • 顯⽰示連線記錄、是由哪⽀支程式造成的
- 62. 難道永遠都只能防守？
- 63. 逆向⼯工程 • 逆向⼯工程 Reverse Engineering • 泛稱對⺫⽬目標進⾏行分析研究，得出其流程、結構 • 反組譯 • 逆向⼯工程應⽤用在軟體裡的其中⼀一種⽅方法 • 把機器碼轉換成組合語⾔言
- 64. 逆向⼯工程 - 靜態與動態 動態分析 靜態分析 優 可知執⾏行時的真實⾏行為 可信度⾼高 分析範圍較⼤大、︑較完整 不受特定招數影響 不需要運⾏行程式 缺 容易被躲避 需要運⾏行程式 被混淆的程式碼分析困難 無法得知執⾏行時的資訊
- 65. 動態分析 - ⼯工具 • Immunity Debugger 哈囉！ヽ( ´∀`)ﾉ • Olly Dbg 說你好！ヽ( 。 。)ﾉ
- 66. 靜態分析 - ⼯工具 • IDA 安安！ヽ( ´∀`)ﾉ • 主打強悍的靜態分析功能 • 好⽤用程度跟價格成正⽐比
- 67. 補張 IDA 介⾯面圖
- 68. 初學者靜態分析⼩小撇步 • 第⼀一個難關：加殼！ • 第⼆二個難關：從何看起？ • 第三個難關：⼀一堆看不懂的 API ！ • 第四個難關：想要了解程式內容！
- 69. 初學者靜態分析⼩小撇步(1) • 第⼀一個難關：加殼！ • 加殼分成加密殼、壓縮殼 • 為了不讓程式被分析，⽽而⽣生的保護機制 • 如何解？ • 先了解使⽤用的是哪種殼 • 找相對應的脫殼⼯工具 / ⼿手動脫殼
- 70. UPX加殼⼩小範例 ?
- 71. UPX加殼⼩小範例
- 72. 初學者靜態分析⼩小撇步(2) • 第⼆二個難關：從何看起？ • 發現程式碼很⻑⾧長⋯⋯很⻑⾧長⋯⋯⋯⋯ • 如何解？ • 使⽤用 String Windows 起⼿手！ • 字串⼤大多會明碼留在程式裡！
- 73. 天啊是字串⼩小範例
- 74. 初學者靜態分析⼩小撇步(3) • 第三個難關：⼀一堆看不懂的 API ！ • 粉紅⾊色的都是 Windows 的API • 但⋯⋯什麼是API？ • 如何解？ • 就查啊！
- 75. 什麼是 API ？ • API （Application Programming Interface） • 應⽤用程式開發介⾯面 • 為了⽅方便使⽤用 Function ⽽而⽣生 • 只需要了解參數即呼叫，進⽽而使⽤用該功能
- 76. Windows API ⼩小範例
- 77. Windows API ⼩小範例
- 78. 初學者靜態分析⼩小撇步(4) • 第四個難關：想要了解程式內容！ • ⋯⋯ • ⋯⋯ • ⋯⋯
- 79. 初學者靜態分析⼩小撇步(4) • 第四個難關：想要了解程式內容！ • 你可以選擇 • ⋯⋯訪問惡意程式撰寫者 • ⋯⋯通靈（？） • ⋯⋯或者是從現在開始學組合語⾔言
- 80. 我覺得學組合語⾔言 ⽐比較簡單啦
- 81. 什麼是組合語⾔言？ age = input(‘How old are you?’) if (age <18): print ‘No you can’t drink beer.’ mov edx, OFFSET HowOldAreYou; call WriteString; call readint; cmp eax,18d; jb LessThan18; LessThan18: mov edx,OFFSET NoYouCantDrinkBeer; call WriteString; Python Assembly Language 難讀、難寫
- 82. 什麼是組合語⾔言？ • ⽤用來跟機器溝通的低階語⾔言 • ⽐比機器碼 01010000 好讀 • ⽐比⾼高階語⾔言難讀 • 但是⽐比⾼高階語⾔言執⾏行速度快，佔⽤用記憶體⼩小 • 舉凡 MASM、NASM
- 83. 為何是組合語⾔言？ • 惡意程式通常是執⾏行檔 • 以 .EXE (executable file) 副檔名存在 • 是看不到原始碼的啊啊啊！ • 透過⼯工具反組譯後，看到的正是組合語⾔言
- 85. 才不要呢XD
- 86. 靜態分析 - ⼩小結 • ⼩小撇步是我⾃自⼰己學靜態分析遇到的困境和SOP • 「想要了解程式內容」是最花時間和經驗的部分 • ⽽而且才是最精華、最難以傳授的 • 通常也會跟⼀一點作業系統、組合語⾔言相關知識 • 沒有騙你真的要好好念書啊
- 88. 初學者靜態分析⼩小撇步 - 懶⼈人包 第⼀一個難關：有沒有加殼？如何解殼？ 第⼆二個難關：資訊量很多，從哪個地⽅方起⼿手？ 第三個難關：遇到看不懂的 API ，怎麼辦？ 第四個難關：如何了解程式內容？
- 89. 感謝聆聽，問題有嗎？ OwO/
- 90. Q：Windows 的惡意程式⽐比較多嗎？ A：攻擊者投⼊入了⼼心⼒力做惡意程式，就會希望獲得最⼤大收 益，依據時代做調整，往往哪個作業系統分佈廣散、漏洞⼜又 多，就會被當作⺫⽬目標 Q：有些惡意程式會把 Sandbox 打穿，有遇過嗎？ A：還沒有遇到，有樣本的話我會很想分析，不過就得有相 對應的分析策略和設置XD Q：如果我有⼀一個程式，我要怎麼知道他是惡意程式？有沒 有除了上述四個之外的⽅方式知道？ A：⼀一般⼈人要辨別這是惡意程式⽐比較困難，⽐比較普遍的⽅方法 就是把它丟進 VirusTotal 讓防毒軟體公司告訴你 Q：有沒有遇到綁架⾸首⾴頁的惡意程式？ A：有，就會有⼀一些瀏覽器的相關設定操作