Messages posted by: konoka

Mình "học" tiếng anh ban đầu chủ yếu qua việc chơi game, nhất là mấy cái game nói nhiều (thường là dạng RPG và Adventure), thấy cũng khá có hiệu quả, nếu bạn không chăm lắm thì có thể làm theo cách này, vừa học vừa chơi ^^

Nói chung là để học 1 cái gì đó, bạn cố gắng tăng sự tiếp xúc với cái đó lên, bằng cách nào cũng được, rồi từ từ (không được nóng vội, điều này rất quan trọng) trình độ sẽ lên.

Một số cách static analysis đơn giản mình học từ cuốn Practical Malware Analysis:

- Upload file nghi ngờ lên VirusTotal.com.
- Kiểm tra xem file có bị packed hay không, có thể dùng PEiD và PEView và so sánh kích thước trên RAM và kích thước trên đĩa của các sections. 1 dấu hiệu nữa của việc file bị packed đó là xem bằng Dependency Walker thấy có quá ít hàm được imported.
- Liệt kê các chuỗi (strings) trong file (có thể dùng tool Strings của Mark Russinovich) xem có gì khả nghi không (ví dụ nếu thấy chuỗi "kerne132.dll" chẳng hạn thì rõ là virus muốn đóng giả file "kernel32.dll" của Win bằng cách thay chữ l bằng số 1 ^^ ).
- Dùng Dependancy Walker để xem thử file import/export những hàm nào, từ đó nắm sơ bộ file này sẽ làm gì khi được chạy.
- Dùng Resource Hacker để xem thử có resource nào đáng nghi không (ví dụ executable code được nhúng vào resource).

Thường thì ít file "bình thường" nào mà được packed và có nhúng executable trong resource. Nếu bạn thấy 2 dấu hiệu này thì nhiều khả năng file là malware (hoặc là BKAV ^^ ). Mấy cách trên chỉ là để xem sơ bộ, bước đầu thôi, còn tất nhiên muốn analyze cẩn thận thì bạn phải chạy/debug file đang nghi ngờ (trên máy ảo), và cần có kiến thức chuyên sâu hơn.

Nếu bạn đang không biết nên chọn con đường nào để đi, thì tức là bạn chưa sẵn sàng để chọn con đường nào cả. Đơn giản thôi, bạn có nghĩ là conmale hoặc các "cao thủ" khác trong này trước đây cũng từng post những câu hỏi đại loại như "phải bắt đầu từ đâu?" không?. Mình nghĩ bạn nên học và nắm vững những kiến thức căn bản về khoa học máy tính trước, khi có căn bản rồi thì tính tiếp chưa muộn. Còn nếu bạn thấy mình đã có căn bản rồi, muốn học sâu về bảo mật chẳng hạn, thì cứ tim đọc những sách/bài viết "classic" về bảo mật, rồi từ từ đọc chuyên sâu thêm (thường thì để cập nhật với những kiến thức mới/chuyên sâu thì phải đọc paper). Nói chung là bạn không thể trông chờ ai đó chỉ cho bạn phải làm gì được, bạn cứ "làm" đi rồi sẽ tự nhận ra bạn nên làm gì ^^