教师：另一种发现恶意文件的方法是使用沙箱｡
基本上, 沙箱是一个执行和分析文件的地方｡
他们将检查是否有任何端口将被打开,
如果它要修改注册表项, 如果它要做任何可疑的（咕哝）｡
它不是防病毒程序｡
您的特洛伊木马程序可能会像我们一样通过防病毒程序｡
我们的特洛伊木马程序通过所有防病毒程序｡
但是沙盒应用程序或沙盒环境会将其运行到一个地方,
一个受控的环境中, 并试图看看它是否有任何可疑的行为,
并给你一个报告｡
你可以用谷歌搜索, 在线沙盒｡
一个叫做混合分析的网站就是这样的例子｡
使用网站非常简单｡
您所要做的就是转到URL,
选择您的文件, 然后上传｡
现在, 我已经完成了这一步,
所以我将向您展示报告,
因为分析文件和制作报告可能需要一些时间｡
收到报告后, 您将看到一些基本信息｡
你会发现, 恶意指标已经被发现｡
现在, 它对你隐藏了它, 你必须使用完整版并付费才能看到它们,
但你并不真的需要看到它们｡
如果你读了整份报告,
你就能知道这个文件是恶意的, 它会在你的电脑上做一些坏事｡
首先, 您可以看到该文件隐藏了错误框｡
它不显示错误框｡
它还修改注册表｡
您可以看到它正在修改的注册表参数｡
你可以看到它在玩互联网设置,
和连接｡
您还可以看到它正在使用Windows Socket服务,
因此它正在尝试创建连接｡
您还可以看到它正在处理进程的地址｡
向下滚动, 您将看到一个最重要的指标｡
很明显, 这里有更多的信息｡
就在这个网络位置上,
您会看到它尝试连接到端口8080上的IP｡
现在, 您可以再次访问此IP并进行反向DNS查找,
然后发现此IP与任何网站都无关｡
另外, 当你把有效载荷上传到这个地方时, 它永远不会在你的计算机上执行,
它会在他们的服务器上的沙箱环境中执行｡
现在, 很明显, 我向你们展示的方法,
当你们在Windows上执行它时,
你们应该总是在一个虚拟盒子里执行｡
请始终在虚拟机中执行此操作,
而不要在您的主机上执行｡
或者, 您可以使用此方法将其上载到沙盒环境中｡
我会为你分析的, 然后你就可以看报告了｡