首页
社区
课程
招聘
[原创]xxxx面试病毒分析师日记[已经更新]
2011-7-18 16:56 53242

[原创]xxxx面试病毒分析师日记[已经更新]

2011-7-18 16:56
53242
xxxx面试过程:
问:病毒的行为一般都有哪些
答:打开文件,创建进程,注册表操作,检查有没可移动磁盘的启动。。。。。
问:你有了解过和分析过最近流行的病毒吗?
答:没有,了解过,没分析过
问:你了解过和分析过下载者相关类似的病毒吗?
答:没有了解和分析过这类的病毒
问:你分析过什么样的病毒
答:U盘自启动
问:一般的感染病毒你了解过吗
答:了解过,添加区段,修改区段大小等等
问:要是添加区段后不能运行怎么办啊
答:要修复那些PE结构相关的成员啊
问:你有分析过盗号的核心技术吗和写过盗号程序吗
答:没有自己的了解过这种技术
问:也就是你一般分析病毒就是把行为大概的看一下吗
答:是的
说:比如QQ也就是一种TX的保护机制就这类似的机制你研究和学习过吗?
我说:哦哦
问:你一般分析病毒的流程是什么
答:打开虚拟机,拖入IDA,开打监视工具,和XueTr这种类似的工具以便查看释放出来的文件
问:你C语言和汇编语言哪种相对好一些
答:相对来说我C语言比较好一些
问:叫你写一些简单的工具你能写吗
答:能写
问:你有分析过远程控制(鸽子)类似的木马吗
答:没有
问:现在一台电脑有病毒。你能把它给找出来吗?
答:我不知道
问:病毒常用的API有哪些?
答:打开文件,打开进程,注册表操作。。。。
问:一般的什么工具你能使用哪些(说的是英语,没听懂)
答:XueTr,兵刃,PT等等
以上是我面试病毒分析的过程的一些问题,可能还有一些没有说完,总结病毒分析师需要的技能如下:
1、至少要了解病毒的行为一般都有哪些
2、病毒行为的详细过程要知道
3、一些简单的工具的开发至少要会
4、分析工具的使用至少要会
5、至少要能写一些辅助病毒分析的工具
下面是补充的病毒分析师需要的技能(自己的理解):
  首先作为一个病毒分析师需要的是了解病毒的种类,以及他们的行为特征,还需要了解他们变异后的特点,还要了解病毒常用的API,以及各类病毒专用的API,比如纯Ring3的病毒和加载驱动的病毒,它们的不同之处是加载驱动的病毒里面有着特定的行为,使用了一些专门的API,以及注册表操作等等,对于一个病毒分析师,我们需要精确的定位是不是病毒,或者是不是盗号木马,不能单靠API来判定是否为病毒,比如一个程序里面是正常使用OpenFile,但是你一看见使用了这个API,就把它定义为病毒就错误了,对于这种,我们需要写一些工具来判定它的行为特征,比如HOOK病毒调用的API,我们创建一个挂起进程的病毒,我们这时创建远程线程HOOK掉相关的API,把病毒使用的相对危险的API的参数全部记录下来,这样我们就能快速判断一般的普通病毒了,对于那些猛一点的病毒,或者破坏系统的病毒,这时我们就需要在安全的环境下分析病毒了,以免病毒破坏我们的病毒分析环境,比如你在真实机器上分析一些盗号木马,或者盗取银行账号的木马,那就比较危险了,一般我认为的病毒分析的环境是,如果是感染的病毒,我们需要开着还原系统,还原各个磁盘,一般分析比较危险的病毒这样应该足够了,对于那些破坏还原的病毒,我相信一般的病毒分析是不能分析的!
  我们还需要了解和使用常用的病毒分析工具,比如反汇编工具,和动态调试器,各种监视器,以及反Rootkit工具,一般的分析流程总结如下:
1、保护自身机器的安全,也就是还原保护
2、监视器开着,
3、反汇编工具,动态调试器
4、自己的病毒分析辅助工具
5、总结病毒的类型
6、总结病毒的行为和危害
就是需要掌握的技能了,下面的还有一些基本的技能。
  我们需要写一些辅助工具来帮助我们辅助分析病毒,下面的是Ring3的说明,当然你也可以写Ring0的工具。
1、注册表监视器,一些病毒经常注册表来对抗一些杀软或者保护自身,比如映像劫持,还有,我前面发过的注册表控制360的开关。
2、文件监视器,一些病毒比如键盘记录这种储存量比较大的东西,就要写入文件了,以及创建文件等等,
3、线程监视器,我们需要监视远程线程的创建,何时创建,何时停止,还是不停止
4、进程监视器,一些病毒经常创建进程来加载一些DLL,以及启动人家的进程。
5、网络监视器,病毒必备的工具,病毒一般得到自己需要的东西后,就发送到自己的机器上,这时我们可以写一些监视工具来辅助抓包分析,抓到的数据包分析等等,以及得到目标的IP地址,好报案等等。
6、病毒种类识别工具,病毒已经被分为很多类型了,比如特洛伊木马,文件型病毒,盗取网游的木马等等,我们的杀毒软件报毒的时候是是已经分了类的,如果我们写这样一个工具,那我们就能快速的记录下来,给编码人员,好更新病毒库
病毒的行为特征是很重要的,一个病毒是否带有破坏性,传染性,潜伏性,等等,这就需要病毒分析师的功力了,病毒比较带危害的特征是什么,可执行性,什么叫可执行性呢?就是EXE文件,一般的就是这样的病毒吧;传染性,通过各种方法来了解和确定被感染的机器和没有感染的机器;破坏性,这个就不怎么好说了,反正伤害用户利益或者破坏其他文件操作其他文件的都是这种;
潜伏性,一个病毒已经被专杀工具杀掉了,但是没有清除干净,就能起死回生;隐蔽性,病毒一般是通过隐藏自己来达到不被用户和杀软以及其他工具的发现,达到长期潜伏在系统的目的;针对性,就是针对这种操作系统,以及各种文件格式的攻击,比如Oday,和ShellCode等等,一但攻击成功,就会执行特定的代码;可触发性,某种特定的事件或者情况出现,然后病毒进行攻击。
还有一个技能就是,手动查找病毒和病毒的防范,这个暂时就不写了,需要资料的自己找找。
写到这里就完了,谢谢观看

[培训]内核驱动高级班,冲击BAT一流互联网大厂工 作,每周日13:00-18:00直播授课

收藏
点赞0
打赏
分享
最新回复 (37)
雪    币: 6
活跃值: (980)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
lookzo 2011-7-18 17:16
2
0
呵呵,面试官真难对付啊
雪    币: 13
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
truthhk 2011-7-18 18:14
3
0
哈哈哈,来看看,是挺难伺候的
雪    币: 270
活跃值: (97)
能力值: ( LV8,RANK:140 )
在线值:
发帖
回帖
粉丝
代码疯子 3 2011-7-18 18:39
4
0
谢谢分享
雪    币: 391
活跃值: (135)
能力值: ( LV2,RANK:140 )
在线值:
发帖
回帖
粉丝
CamelLu 3 2011-7-18 19:23
5
0
支持韬哥,虽然韬哥有些问题可能答得不好,技术可能不是很强,但是绝对年轻,有激情,希望xxx公司能给他一个机会。
雪    币: 7842
活跃值: (148)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
guobing 2011-7-18 20:36
6
0
顶一个先,想起自己去年的面试了。
雪    币: 14
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wting 2011-7-18 20:50
7
0
楼主好人啊。看来腾讯面试还有难度哦
雪    币: 1015
活跃值: (235)
能力值: ( LV12,RANK:440 )
在线值:
发帖
回帖
粉丝
loongzyd 10 2011-7-18 20:51
8
0
先顶搂主一个 然后慢慢学习
雪    币: 678
活跃值: (101)
能力值: ( LV2,RANK:150 )
在线值:
发帖
回帖
粉丝
StudyRush 3 2011-7-18 21:17
9
0
爆料,这个你说错了。希望能够拿到offer。
雪    币: 278
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
残梦飘雪 2011-7-18 21:27
10
0
感觉你说的比较少  而且不具体  只要是个 做这方面的人  都知道的
雪    币: 111
活跃值: (25)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
NiGHter 2011-7-18 21:52
11
0
顶滔哥.xxx公司应该重点培养一下滔哥,有前途
雪    币: 66
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mlwind 2011-7-19 21:36
12
0
是360吧
雪    币: 276
活跃值: (709)
能力值: ( LV15,RANK:520 )
在线值:
发帖
回帖
粉丝
邓韬 9 2011-7-19 23:43
13
0
谢谢各位兄弟的关心和支持,已经拿到Offer,谢谢大家!
雪    币: 9
活跃值: (939)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
网络游侠 2011-7-20 19:29
14
0
我顶 邓韬,年纪很小,病毒分析这块至少玩到中层水平了,对壳分析也有一定研究,的确不错,只是良徒没遇良师。
实在看不下去,某X安全公司这种无脑问话方式。

问:病毒常用的API有哪些?

这句问的啼笑皆非,只有若干年前,和远古时代的病毒才会采用直接调API吧,现在的病毒都是直接内存中的call
shellcode,想想以前一个样本的shellcode足足有200行,某X杀软启发一扫而过,所谓启发,真的是“启发”了

病毒归类都没问,一看这个面试官就是草莽出生。
雪    币: 226
活跃值: (115)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
skyXnet 3 2011-9-16 10:26
15
0
术业有专攻,当你做得比面试官知道的要多.要专业. 自然就能成功机会多一些.
雪    币: 145
活跃值: (148)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
bgtwoigu 2011-9-16 16:01
16
0
醒醒吧,天亮了~

雪    币: 334
活跃值: (92)
能力值: ( LV7,RANK:100 )
在线值:
发帖
回帖
粉丝
岭南散人 1 2011-9-24 18:04
17
0
感觉是在360面试时问的,我那天去面试人家也是这么问的,然后直接叫上机,分析几个病毒,我晕了。最后没分析出来,很伤不起啊
雪    币: 23
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
ccwm 2011-10-3 23:53
18
0
自学的很久,不知道有没有公司能看中我。我可想干这一行。看中我的请和我联系。
雪    币: 39
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
wangharry 2011-10-4 00:44
19
0
这就是典型的病毒分析师的面试吗?能知道不少东西了。
雪    币: 27
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
yikeshu 2011-10-9 11:07
20
0
很给力,顶楼主。让我学到不少。
雪    币: 230
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
skyfeces 2011-10-27 18:14
21
0
恭喜拿到offer
雪    币: 2503
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
淡定是罪 2011-10-27 18:47
22
0
看看 这都是经验啊!!!!
雪    币: 54
活跃值: (40)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
不死怨灵 2011-10-28 18:53
23
0
呃~~这不一定~~这些问题比较基础。
哪个公司招病毒分析基本都会问这些的~~
LZ说还有英文……没听说360对英语有要求了……
之前去华赛面试也没有用英文……
所以更像是某外企~~

至于你那个伤不起的上机……
三个样本还是比较具有典型性的~~
多看些病毒,那些不难的~
可能还是当时紧张,临场发挥不行吧~~
雪    币: 54
活跃值: (40)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
不死怨灵 2011-10-28 19:04
24
0
属于典型的基础面试……
有些公司根据资深需求会问的更加详细和专业……
目前我面过的公司中
个人感觉问的最刁钻的是飞塔……
各种专业,各种高要求……
雪    币: 1602
活跃值: (14)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
panti 2011-11-4 04:38
25
0
病毒和木马混为一谈,木马调用的几个API(获得系统文件夹、找临时文件夹释放文件等)我知道,一般杀软(是杀软还是主防)根据程序调用的这几个API就可以增加该程序是木马的加权值。
病毒看看29a吧,还有某牛的、、
公司一般招能够上手的,不会招你去培训的,伤不起、、
游客
登录 | 注册 方可回帖
返回