内核级病毒与木马攻防:windows上四个恶意代码和病毒程序分析实战

本节看看如何将前面讲述的各种工具和理论应用到实践中来。我们将拿几个专门针对windows系统开发的恶意程序作为实例，用前面讲到的工具和理论具体分析其设计原理并了解它所要实现的目的。

所要分析的二进制可执行文件以及所有用到的工具可从如下链接下载链接: https://pan.baidu.com/s/1QBwGxCGjA7kYd4HchSTlWg 密码: 09g7
首先我们分析第一个恶意程序，也就是malicious-01.exe。面对exe程序时，首先要做的就是将它丢到PEView里先看看它的大概信息，打开它后我们看到如下内容：

可以看到它的header部分信息非常少，这是程序经过UPX之类程序进行打包的重要特征。点击SECTION.txt下面的IMPORT_Address_Table可以看到它导入了kernel32.dll，接下来用strings.exe 扫一下它包含的字符串看看有没有什么有价值的信息，执行后情况如下：

此时看到几个提供关键线索的字符串，其中SOFTWARE\Class\http\shell\open\commandV这类字符串应该是注册表路径，特别是SOFTWARE\Microsoft\Windows\CurrentVersion\Run是