---
# System prepended metadata

title: 資通訊安全實務 W3
tags: [第一組]

---

---
title: 資通訊安全實務 W3
tags: 第一組
---
# 資通訊安全實務 W3

## Tools

- CFF explorer
- PE-bear.exe
- Pestudio

## PE中更重要的東西

- IT(Import Table)
    - 紀錄 .dll (Dynamic-link library)
![IT](https://hackmd.io/_uploads/BJu8uTXCR.png)

    - 紀錄這個程式使用的 Library，可以透過分析這個 DLL 表，知道惡意程式大概在做甚麼? eg. fget,fopen

    - FindFirstFile() + FindNextFile()：遍歷指定目錄的所有檔案

    - 為甚麼要有 IT ? 因為 DLL 的概念為-需要用到時再載入(到 memory 裡)，但要載入的當下如何知道要去哪裡找需要的函式，可以到 IT 裡面查。

### Window API

- DLL 檔存放的是機器指令
- .dll table
- 看程式有呼叫甚麼功能?：Import Table
- 看 DLL 檔有甚麼功能?：Export Directory 


## 靜態分析

### 擷取特徵

![image](https://hackmd.io/_uploads/H1CEy14CR.png =50%x)

#### Hash Values 哈希值

雜湊值最精準，保存期限最短

- 常見的雜湊函數
    - MD5
    - SHA-1
    - SHA-256
- Tools
    - HashCalc
    - Virustotal
    - pestudio
    - strings (把可見字串抽取出來)
