自动分析沙箱逃逸技巧

显示全部楼层 · 发表于 2017-3-24 22:22:10

可以学习下

显示全部楼层 · 发表于 2017-3-25 01:28:05

最近火热的“容器”概念不知道是不是属于这类虚拟化环境

不然还是仿的，就总有和正式系统不一样的地方

显示全部楼层 · 发表于 2017-3-25 03:00:10

靴习一个，其实有矛就有盾，百密总有一疏。我记得原来有个病毒是检测用户打开过10个以上的文档才会发作...搞得分析人员一脸懵逼。

显示全部楼层 · 发表于 2017-3-25 03:39:09

欧阳宣发表于 2017-3-25 01:28
最近火热的“容器”概念不知道是不是属于这类虚拟化环境

不然还是仿的，就总有和正式系统不一样的地方

docker之类的算，但属于轻量级虚拟，个人感觉不适合病毒分析。病毒分析需要强隔离，就算是虚拟机级别的隔离都有可能通过处理器共享缓存等实现旁路攻击

显示全部楼层 · 发表于 2017-3-25 03:50:13

FUZE 发表于 2017-3-25 03:00
靴习一个，其实有矛就有盾，百密总有一疏。我记得原来有个病毒是检测用户打开过10个以上的文档才会发 ...

大概深入底层逆向才比较彻底，不过太耗时耗力。我还记得之前看到别人搞的Swizzor混淆壳的逆向树

显示全部楼层 · 发表于 2017-3-25 04:01:12

B100D1E55 发表于 2017-3-25 03:50
大概深入底层逆向才比较彻底，不过太耗时耗力。我还记得之前看到别人搞的Swizzor混淆壳的逆向树

666

显示全部楼层 · 发表于 2017-3-25 12:16:15

学习一下~

显示全部楼层 · 发表于 2017-3-25 21:36:38

瞻仰一下

显示全部楼层 · 发表于 2017-3-25 22:02:47

沙盘，虚拟机，影子系统该怎么权衡呢

显示全部楼层 · 发表于 2017-3-26 12:35:03

ww1208638621 发表于 2017-3-25 22:02
沙盘，虚拟机，影子系统该怎么权衡呢

取决于计算资源的多少和对易用性的需求。如果电脑资源多到可以跑虚拟机而不影响正常使用，闲到可以自己手动分析一下未知文件（或者有自己的沙盘），一般来说虚拟机沙盘自然是最佳选择。

[分享] 自动分析沙箱逃逸技巧