徐国天

（中国刑事警察学院网络犯罪侦查系 辽宁 沈阳 110035）

1 引言

木马恶意程序隐藏在受害者计算机系统或智能终端设备内，在后台悄悄记录用户输入的敏感信息，窃取受害者主机内的涉密文件，甚至监听受害者的语音、视频和网络通信数据[1]。可以说，木马恶意程序已对互联网安全构成严重威胁，研究木马恶意程序的电子数据取证方法对公安机关的侦查办案工作有实际意义。

目前，木马恶意程序常用的取证方法是逆向分析法[2]，这种方法是使用Ollydbg等反汇编分析工具将木马的样本程序反编译为汇编代码，再通过分析汇编程序了解木马的执行逻辑，进而提取出相关线索信息，完成取证分析工作。逆向分析方法要求取证人员具备汇编语言程序设计基础，同时需要阅读的汇编代码量也非常大，这些因素导致取证周期长、难度大。为了降低取证难度、提高分析效率，本文提出一种基于“关键函数”断点设置的木马恶意程序取证分析方法。

2 基于“关键函数”断点设置的木马恶意程序取证方法

通过对多个木马样本进行分析，我们发现不管是什么类型的木马恶意程序通常都要实现几个特定的核心功能，如进程隐藏、开机自动运行、躲避杀毒软件查杀、绕过防火墙拦截、实现与攻击者的远程通信联络、实现特定的恶意功能等[3]。这些核心功能在实现时都需要使用特定的系统函数，如发送邮件需要使用connect和socket函数，写注册表实现自启动需要使用RegOpenKey函数，实现键盘记录需要获得窗口标题，这时通常使用GetWindowText函数。……