目錄

Hi

實習期

分析技術的瓶頸

Hi

第二天我早早地就到了公司，10樓的開放辦公室也沒來幾個人，而我也是我們病毒分析部第一個到的，過了一會，Rocky也來了，他見我是先到的，特意來到我們分析師辦公室這邊，微笑著和我說了一聲“早啊”，我也趕緊回復一句“早”，然后他就回到旁邊的辦公室了，

這個時候我也是領略到了我們卡巴的辦公室氛圍還是很和諧的，可能大家覺得這一切很正常很自然，但是若在以往，不論是賣書還是賣手機的時候，大家早上來店里作業，頂多是相互瞥幾眼完事，基本上不會特意去打招呼的，特別是我聽說很多公司的員工之間，為了避免尷尬的情況出現，相互躲著都來不及，更別提主動打招呼了，而我們部門的這一特點——早上來到辦公室相互道一聲“早”——也是一直延續到了最后，不論是Rocky還是我們四個分析師之間，后到的都會主動和先來的道一聲早，其實除了上班時大家會相互問候之外，下班也同樣如此，先走的同事也會和Rocky與其余同事道別，一切種種，讓我感覺我們部門很是團結，上下級之間并沒有什么架子，

還有一件事，對我的影響延續到了現在，那個時候，Rocky有時會給我發資訊來通知我一些事情，他每次給我發資訊，使用的第一個詞一定是“Hi”，借此來打開話匣子，這就讓我也深受影響，畢竟在此之前，我有什么事都是直說的，很多時候就會感覺非常突兀，但是加入了“Hi”以后，感覺不管接下來要說什么，都會顯得溫和了很多，于是包括到現在也是，我只要是單獨給一個人發資訊，基本上也都會以“Hi”作為開頭，如果不用這個詞，就有種開不了口的感覺，

實習期

我在之前的故事中講過，在我剛入職卡巴的時候，盡管我還沒有畢業，但是卡巴斯基依舊給了我正式員工的待遇，合同中并沒有明確實習期的概念，但是我的部門主管Rocky考慮到我畢竟是新人，就沒有讓我直接負責具體的作業任務，而是從我第二天上班開始，讓我每天分析一些有特點的樣本，鞏固基礎以早點進入實戰狀態，所以我就把這一階段稱為我的實習期，從2016年的3月初到5月末，一共持續了大概三個月的時間，

Rocky讓我分析的惡意程式也是由淺入深，讓我對每個樣本寫一份簡要的行為說明，需要從檔案操作、注冊表操作以及網路行為三個方面進行論述，同時還給了我一份卡巴內部關于惡意程式歸類方式的檔案，需要在分析完之后，寫出該惡意程式屬于哪類哪家族，其實一開始的那些較為簡單的惡意程式根本就難不住我，畢竟只要把他們拖進IDA，其行為就一目了然了，頂多輔以OD進行動靜結合的除錯分析，因此前幾輪的訓練進展得很快，我寫的簡要的分析說明也是得到了Rocky的認可，他認為我寫得又快又準確，這也讓我的自信心得到了極大地加強，

而在我上班的第二天開始，我也是見到了我們辦公室的另一位老員工Seth，他剛休完年假回來，由于“渣兔”調休，所以接下來卡巴的日常業務就要由Seth負責了，盡管我剛才說在訓練期的時候，一般的樣本都難不住我，但偶爾也會出現讓我頭疼的情況，一些奇奇怪怪的樣本讓我很是沒有思路，包括一些由不常見的編程語言生成的樣本也是如此，這個時候我往往會請教一下Seth，他也會給我一些工具和建議，等于是拓寬了我的知識面，特別是當我第一次分析到勒索病毒的時候，最后需要對它們進行歸類，我想了半天也沒想到這類惡意程式到底算是病毒還是木馬，于是我就問他，他告訴我說這類惡意程式屬于Ransom，準確來講是Trojan-Ransom，這無疑又是拓寬了我的知識面，畢竟已經讀到研究生快畢業了，也沒見過“Ransom”這個單詞，盡管勒索類惡意程式我是早有耳聞，但也都是看的中文材料，知道他們屬于“勒索”或者“敲竹杠”，但英文是啥我還真是不了解，卡巴的資料還都是全英文的，并沒有英漢對照，看起來多多少少會有些吃力，因此從這個方面來看，在我的實習期，Seth確實給予了我很大的幫助，

我實習期的上下班時間和其他員工是一樣的，都是上午10點到公司，晚上6點下班，每天的作業時間正好是8小時，中午沒有特設午休的時間，這樣一個時間就讓我有了很大的自由度，至少是錯開了最嚴重的早高峰的時間，但由于在我還沒有畢業的時候，我是住在學校宿舍的，不單單走到地鐵站需要一段時間，上了地鐵還需要換乘，這樣我上班就大概需要一個小時，所以我基本上都是大概8點出寢室門，到一樓吃個早餐，然后8點半走出中藍公寓去趕地鐵，爭取9點鐘乘上地鐵，但這個時間其實屬于高峰期的尾段，乘車的人還是很多的，特別是換乘車站更是如此，想擠上地鐵就已經很困難，擠進去之后讓我有種呼吸困難的感覺，完全隨著人潮而流動，讓我切物體會到了身體已經不屬于我的感覺，尤其是想要下車的時候，只能一路抱歉一路擠到門口了，因此也是鍛煉了自己強大的心理承受能力，不再為踩到別人的腳而內疚，

上班多多少少還好一些，但是到了下班就不一樣了，因為6點正屬于高峰，有時候在我排隊等地鐵時，可能需要等兩三班才能輪到我上車，可能有些朋友會說，為啥下班之后不晚點走，比如也在公司吃個飯，然后看看書做點研究，等到七八點再走不好嗎？沒錯，這樣確實是個好辦法，可是，由于我是住宿舍的，北方的大學并不像南方，南方是基本每間寢室都有獨立衛浴，北方的大學，無論是長理還是北工大，是有專門的浴室的，是脫離于宿舍而存在的，比如我們中藍公寓，浴室就在地下一層，每天有固定的開放時間，如果錯過了，那就只能等到第二天了，當時我們浴室的開放時間是下午1點到晚上8點，浴室會在晚上7點半停止放人進去，由于住在中藍公寓的基本都是研究生，大家就算沒有出去實習，也基本會在導師的實驗室幫忙做專案，因此每天晚上的6點到8點正是我們研究生下班回中藍的高峰期，同時也是洗澡的高峰期，此時就經常出現這樣的一種狀況，那就是一個同學占據著淋浴頭，而在他周圍有好幾個同學圍著他的場面了，最氣人的是，有些占著淋浴頭的同學不知道是故意的還是怎樣，除了正常的洗澡流程以外，他還會慢條斯理地在哪里叉著腰刷個牙，然后蹲下來洗襪子褲衩，一點也不介意圍觀同學的感受，讓人很是崩潰，

也正是由于要回來洗澡這個原因，我就必須要在晚上6點離開公司，一切正常的情況下，7點10分左右才能回到公寓，著急忙慌地上樓取洗漱用品，然后趕到地下去洗澡，這就差不多七點半了，而且折騰了半天連飯都沒吃上，這可以說是最讓我苦惱的一件事了，很多時候覺得還是別洗了，但考慮到我畢竟在辦公室捂了一整天，上下班又在地鐵上和大家擠了差不多兩個小時，不洗澡的話我都睡不著覺，因此就促使我每天下班都如同戰爭時期的急行軍，需要第一時間奔赴前線，特別是有些時候遇到麻煩的樣本，讓我在晚上6點也分析不完，此時我只能滿懷歉意地和Rocky說一下理由，保證晚上回到寢室一定完成任務，然后才愧疚地離開，而像是這樣一種狀況，也就直到我畢業搬離中藍，住在了外面的小公寓，才算是徹底解決，

三個月的實習期，我一直處于訓練的階段，這期間我還向Rocky表達過我的一些歉意，因為這段時間并沒有為公司做出過實質的貢獻，卻也在領工資，他說沒關系的，但愧疚感還是充盈著我的內心，這不像我以前賣貨做銷售的時候，不管是賣出什么東西，都是在為公司贏利，也是在體現自己的價值，我也可以掙到屬于自己的一份提成，可在卡巴，就讓我有種公司出錢僅僅是為了讓我鞏固自己的分析技能的感覺，盡管實習期很輕松，但沒有為公司做出過實際貢獻，還是讓我很不踏實的，

分析技術的瓶頸

其實做惡意程式分析，完全就是一項流程化的作業，在掌握了基本方法之后，接下來就是經驗的積累了，不會有更高更深更復雜的技術了，特別是在此之前，我已經積累了不少的分析經驗，實習期的樣本基本也沒啥挑戰性，就讓我有了種真實的病毒分析作業也“不過如此”的錯覺，而這樣一種錯覺，直到Rocky給了我一批新的樣本之后，才出現了180度的扭轉，

這天，我又快樂且輕松地分析完了上一批的訓練樣本，并寫了樣本行為報告還做了分類，等著Rocky給我新的訓練任務，像這種任務和任務間的閑暇，是我最喜歡的時光，既有對已完成任務的滿足感，又有對新挑戰的期待，

這個時候，Rocky給我發了封郵件，包含有最新的分析任務和樣本包，和我說Hi，這次讓我分析一些新型別的樣本，其中包含有混淆的技術，讓我自己先研究一下，“混淆”這個詞我還真是第一次聽說，以前在學習和研究的程序中沒有一本書講過類似的東西，我也很好奇，于是就先拿第一個樣本練練手，

一切按照流程進行，但是在分析的程序中，我發現這個樣本似乎是采用了一些加密手段，使得無論是靜態還是動態分析都沒辦法看到這個程式的全貌，這樣就很難看到它的真實行為，貌似是一種加殼，但用查殼工具以及脫殼工具也沒什么效果，于是在糾結之中，一天就差不多過去了，我依然沒有什么頭緒，

下午快下班的時候，Rocky過來問我做得怎么樣了，我說還沒看出來什么，不太清楚這些樣本是怎么回事，于是他就過來在我的電腦上，使用OD給我簡單演示了一下分析的方法，這個時候我才發現，原來混淆技術可以理解為是一種加殼，以對抗分析師的逆向分析，而這種加殼（或者說加密）的手段是駭客自己發明的，因此通用的去殼工具當然沒有效果，而這種混淆技術的基本加密思路也很簡單，那就是它的真實操作和資料一開始是以加密的方式放在程式本體的某一個位置的，程式在執行的程序中，會執行分配記憶體的操作，然后將這些加密的內容拷貝到新申請的記憶體空間中，之后對這部分的內容進行解密，從而還原出病毒的本體以執行，這還真是為我打開了新世界的大門，才發現原來駭客還有這一手，看來駭客們也是很努力也是很拼的，好吧，既然掌握了基本的解混淆方式，那么接下來我就可以去實際操作一下了，但是臨近下班，我要“急行軍”回去洗澡，于是也就只能帶有歉意地和Rocky說了一下情況，他也就讓我回去了，

想象很美好，覺得這些樣本只不過是麻煩一些，多了解密操作而已，總感覺并沒有超出我的理解和能力的范圍，然而現實很殘酷，我又被無情地打臉了，回到宿舍洗完澡吃完飯，打開電腦啟動分析工具，開始研究第二個混淆樣本，可是我發現這個樣本的難度比Rocky給我舉的那個例子又進階了不少，我又處于了手足無措的發呆狀態，我不想一直卡在這里，隨后又看了一下第三個樣本，它和之前兩個又不一樣，Rocky的方法在這里又不管用了，接下來的第四個第五個……同樣也是各有特色，讓我的知識技能盲區瞬間暴露無遺，給我的自信心造成了毀滅性的打擊，覺得自己被這些駭客徹底擊敗了，那么這也就說明，我那一晚什么成果都沒有，

第二天上午繼續分析，到了下午大概四點的時候，Rocky又來問我有沒有什么進展，我說這些樣本都挺難的，除了你給我演示的那個以外，其余的都還沒有什么思路，他問我哪個比較麻煩，要再次給我演示一下，于是我就把其中一個我覺得完全不知道怎么回事的樣本指給他了，然后他就打開了OD來給我除錯分析，這個樣本確實麻煩，它采用了很多奇奇怪怪的技術來實作混淆，一些技術我也是完全沒有聽說過，實際除錯時，稍有不慎就錯過了核心功能，因此Rocky也是步步小心，每發現一處高明的地方，就給我分析一下，最后差不多六點的時候，才徹底了解了這個程式的混淆方式，這期間，我發現Rocky的分析技能是真的很厲害，我完全不知道自己什么時候才能追趕上他，這就是世界級的實力，

估計Rocky也沒想到這個樣本花了這么長的時間，讓我回去以后再實際動手分析一下，他就回到辦公室了，因為已經6點了，我也就收拾東西準備“急行軍”了，和Rocky道別時，我發現他還在看書，因為剛才在除錯時發現了一個有趣的技術，他想在書里面再好好看看，進一步地確認一下，我記得很清楚，那本書是《C++反匯編與逆向分析技術揭秘》，我突然很感慨，厲害的人總也不會忘記學習，不會忘記去提高自己，正是這種好學的精神讓大神能夠成為大神，這些精神和態度，是以前我通過視頻和自學所學不來的，是卡巴斯基這個公司這個平臺才能夠提供給我的，從而成為我的寶貴經歷與財富，受益匪淺，

后來回到寢室，這個樣本我又沒除錯出來，但至少其余幾個沒那么復雜的樣本，我已經可以除錯出來了，感覺這兩天的識訓很大，探索到了一個未知的世界，感慨良多，而這批混淆的樣本，我前前后后大約花了半個月的時間才完全搞定，但對一些復雜的樣本，我也處于懵懂的階段，Rocky考慮到我還有后續的學習任務要完成，也沒太抓這批惡意程式，后來就到了下一階段分析新的樣本了，但通過這一階段的研究，我也發現了自身的不足，而這一批樣本，也確實是我實習期中，在技術方面的瓶頸了，

回到目錄

下一篇