渗透测试 | 看我如何还原黑客真实通信
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
本文介绍了逆向分析还原恶意流量中的通信数据的方法，包括定位PID和逆向+调试定位还原数据结构。成功还原了通信流量的数据。
🔎
延伸解读
逆向分析在流量还原中的关键作用
当恶意流量采用非明文传输时，仅靠流量层分析难以提取有效检测规则。本文通过逆向分析恶意DLL，定位到上线包处理函数，并还原了其数据结构。这表明，对于加密或混淆的通信，结合逆向工程可以深入理解恶意软件的行为，从而为检测和防御提供更准确的依据。
恶意软件的数据收集与加密方式
该木马在上线时收集了受害主机的MAC地址、CPU信息、内存大小、语言地区、计算机名和系统版本等数据，并使用异或加密（密钥0xf7）对明文进行加密。这种简单的加密方式虽然易于逆向，但足以规避一般的流量检测。安全人员可通过识别加密特征或逆向解密来发现此类通信。
还原通信数据结构的实际意义
通过逆向分析，作者成功还原了上线包的数据结构，包括各字段的偏移和含义。这种还原不仅有助于理解恶意软件的通信协议，还能为编写精确的检测规则（如Snort或Yara规则）提供基础，提升对特定威胁的检测能力。
❓
Q&A
如何通过逆向分析还原恶意流量中的通信数据？
通过定位PID和逆向调试，可以还原恶意流量中的数据传输内容。
恶意代码是如何实现通信的？
恶意代码通过释放诱饵文档和加载恶意DLL来实现通信。
在逆向分析中使用了哪些工具？
使用IDA进行逆向分析，定位恶意代码的关键函数和服务名。
恶意流量中获取了哪些受害者信息？
获取了受害者的MAC地址、CPU信息、内存大小等数据。
如何对明文数据进行加密？
使用异或加密对明文数据进行加密，密钥为0xf7。
逆向分析的最终结果是什么？
成功还原了通信流量的数据结构和内容。
🏷️
