| 如下图所示，恶意代码的分析方法由静态分析方法和动态分析方法两部分构成。其中，静态分析方法有反恶意代码软件的检查、字符串分析和静态反编译分析等；动态分析方法包括文件监测、进程监测、注册表监测和动态反汇编分析等。
|
|
|
|
|
|
|
|
|
|
|
| （1）反恶意代码软件的检测和分析。反恶意代码软件检测恶意代码的方法有特征代码法、校验和法、行为监测法、软件模拟法等。根据恶意代码的信息去搜寻更多的资料，若该恶意代码的分析数据已被反恶意代码软件收录，那就可以直接利用它们的分析结果。
|
|
|
| （2）字符串分析。字符串分析的目的是寻找文件中使用的ASCII或其他方法编码的连续字符串。一些有用的信息可以通过在恶意代码样本中搜寻字符串得到，比如：①恶意代码的名字；②帮助和命令行选项；③用户对话框，可以通过它分析恶意代码的目的；④后门密码；⑤恶意代码相关的网址；⑥恶意代码作者或者攻击者的E-mail地址；⑦恶意代码用到的库，函数调用，以及其他的可执行文件；⑧其他的有用的信息。
|
|
|
| （3）脚本分析。恶意代码如果是用JS、Perl或者shell脚本等脚本语言编写的，那么恶意代码本身就可能带有源代码。通过文本编辑器将脚本打开查看源代码。脚本分析能帮助分析者用较短时间识别出大量流行的脚本类型，下表列出了常用脚本语言。
|
|
|
|
|
|
|
| （4）静态反编译分析。对于携带解释器的恶意代码可以采用反编译工具查看源代码。源代码在编译时，代码会被编译器优化，组成部分被重写，使得程序更适合解释和执行，上述面向计算机优化的特性，使得编译的代码不适合逆向编译。因此，逆向编译是将对机器优化的代码重新转化成源代码，这使得程序结构和流程分离开来，同时变量的名字由机器自动生成，这使得逆向编译的代码有着较差的可读性。下表列出了一些反编译工具，它们能够生成被编译程序的C或者Java语言的源代码。
|
|
|
|
|
|
|
| （5）静态反汇编分析。有线性遍历和递归遍历两种方法。GNU程序objdump和一些链接优化工具使用线性遍历算法从输入程序的入口点开始反汇编，简单地遍历程序的整个代码区，反汇编它所遇到的每一条指令。虽然方法简单，但存在不能够处理嵌入指令流中的数据的问题，如跳转表。递归遍历算法试图用反汇编出来的控制流指令来指导反汇编过程，以此解决上面线性遍历所存在的问题。直观地说，无论何时反汇编器遇到一个分支或者CALL指令，反汇编都从那条指令的可能的后续指令继续执行。很多的二进制传输和优化系统采用这种方法。其缺点是很难正确判定间接控制转移的可能目标。恶意代码被反汇编后，就可用控制流分析来构造它的流程图，该图又可以被许多的数据流分析工具所使用。由于控制流程图是大多数静态分析的基础，所以不正确的流程图反过来会使整个静态分析过程得到错误的结果。
|
|
|
|
|
|
|
| （1）文件监测。恶意代码在传播和破坏的过程中需要依赖读写文件系统，但存在极少数恶意代码只是单纯依赖内存却没有与文件系统进行交互。恶意代码执行后，在目标主机上可能读写各文件，修改程序，添加文件，甚至把代码嵌入其他文件，因此对文件系统必须进行监测。FileMon是常用的文件监测程序，能够记录与文件相关的动作，例如打开、读取、写入、关闭、删除和存储时间戳等。另外还有文件完整性监测工具，如Trip wire、AIDE等。
|
|
|
| （2）进程监测。恶意代码要入侵甚至传播，必须有新的进程生成或盗用系统进程的合法权限，主机上所有被植入进程的细节都能为分析恶意代码提供重要参考信息。常用的进程监测工具是Process Explorer，它将机器上的每一个执行中的程序显示出来，将每一个进程的工作详细展示出来。虽然Windows系统自己内嵌了一个进程展示工具，但是只显示了进程的名字和CPU占用率，这不足以用来了解进程的详细活动情况。而Process Explorer比任何的内嵌工具更有用，它可以看见文件、注册表键值和进程装载的全部动态链接库的情况，并且对每一个运行的进程，该工具还显示了进程的属主、独立细致特权、优先级和环境变量。
|
|
|
| （3）网络活动监测。恶意代码经历了从早期的单一传染形式到依赖网络传染的多种传染方式的变化，因此分析恶意代码还要监测恶意代码的网络行为。使用网络嗅探器检测恶意代码传播的内容，当恶意代码在网络上发送包时，嗅探器就会将它们捕获。下表列出了一些网络监测工具。
|
|
|
|
|
|
|
| （4）注册表监测。Windows操作系统的注册表是个包含了操作系统和大多数应用程序的配置的层次数据库，恶意代码运行时一般要改变Windows操作系统的配置来改变Windows操作系统的行为，实现恶意代码自身的目的。常用的监测软件是Regmon，它能够实时显示读写注册表项的全部动作。
|
|
|
| （5）动态反汇编分析。动态反汇编指在恶意代码的执行过程中对其进行监测和分析。其基本思想是将恶意代码运行的控制权交给动态调试工具。该监测过程从代码的入口点处开始，控制权在程序代码与调试工具之间来回传递，直到程序执行完为止。这种技术能得到正确的反汇编代码，但只能对程序中那些实际执行的部分有效。目前主要的动态反汇编分析方法有以下两种：
|
|
|
| . 同内存调试。这种方法使调试工具与被分析恶意代码程序加载到相同的地址空间里。该方法的优点是实现代价相对较低，控制权转交到调试工具或者从调试工具转回恶意代码程序的实现相对来说比较简单；缺点是需要改变被分析程序的地址。
|
|
|
| . 仿真调试，即虚拟调试。这种方法是让调试工具与分析的恶意代码程序处于不同的地址空间，可绕过很多传统动态反跟踪类技术。这种方法的优点是不用修改目标程序中的地址，但在进程间控制权的转移上要付出较高的代价。
|
|
|
|
|
|
|
|
|
