网站 › 『安全工具区』 › 病毒行为分析工具OllySafe

绿林科技 发表于 2012-8-8 11:13

病毒行为分析工具OllySafe

本帖最后由 kuwo911 于 2012-8-8 13:04 编辑

Ollydbg 专门的病毒分析插件 Ollysafe
病毒行为分析工具OllySafe
一、What’s fucking this
病毒分析工具OllySafe其实就是MiniSafe的专业版，是一个专门为病毒分析员提供的OllyDbg插件，它可以对病毒操作文件、注册表、进程进行拦截分析，能够简化病毒分析难度，协助好病毒分析工作。
二、如何安装
解压安装包后把olly_hardware_breakpoint.dll、MiniSafe.exe、OllySafe.sys三个文件拷贝到OllyDbg的Plugin目录下即可完成安装，注意不要超过32个插件的上限了，最好在OllyDbg的安装目录下也拷贝一份。
三、使用说明
以壳和花指令都比较多的icesword为例。
用OllyDbg打开icesword，可以看到OllySafe自动运行了。

最小化OllySafe窗口。
按F9运行icesword。

   首先可以看到icesword加载的部分DLL文件，先不管，点击是加载之。
   然后可以拦截到icesword对注册表的操作，要写入/SystemRoot/System32/Drivers/IsDrv120.sys，先拦截下来看一下多，点击暂停。

再点击是先让其修改注册表。一般来说程序会停在Ntdll.dll模块中，要用ALT+F9返回到用户代码。
但由于Icesword是自己直接调用的Native Api，所以可以省去这一步了：）

就可以看到icesword操作注册表的相关代码。F9继续运行

进程IceSword_unpacked.ex试图加载驱动/Registry/Machine/System/CurrentControlSet/Services/IsDrv120
这次拦到的是驱动加载操作了。
点击暂停后返回用户代码，这次点否。

上下翻看，可以发现IceSword第一次加载驱动不成功后还会使用随机文件名加载驱动。
好了，如何使用暂时先说到这里。
四、注意事项
1、为了安全，OllySafe运行时禁止任何进程的创建。这主要是防止病毒通过Winexec创建不受OllySafe监控的恶意程序，所以你在调试时想运行的程序请在启动OllySafe之前运行。
附件：

kuwo911 发表于 2012-8-8 13:05

谢谢分享 并详细讲解使用方法

Evil0r 发表于 2012-8-8 12:23

好东西呀 顶一个

xiaodou 发表于 2012-8-8 11:18

下载回去看看

绿林科技 发表于 2012-8-8 11:16

补充附件：

neinei 发表于 2012-8-10 10:25

是不是去年的那个插件啊，有最近更新的？

virusdefender 发表于 2012-8-11 08:55

感谢分享，回去试试

guohaoyu 发表于 2012-8-17 01:51

谢谢楼主分享,收藏备用了!

suncing 发表于 2012-8-19 10:48

谢谢，试试看!

signed 发表于 2012-8-25 23:25

好东西呀 顶一个

查看完整版本: 病毒行为分析工具OllySafe