测试环境
0YyeLL%v`M 操作系统：WINDOWS 2000 PROFESSIONAL
wM>Wlm&G 虚拟系统：VMware Workstation虚拟系统 5.5.3
SU}8*zr 监控软件：TINY desktop Firewall 2005PRO（CA） 版本：6.5.126
;r
XDy;H q]HE6 Jw 一：首先安装VM虚拟系统。
r`&[t:s 官方下载网址为
w 2L& b http://www.vmware.com/download/ws/
s@rs: 2c 默认为英文版，不过没有关系，因为我们只需要用到几个功能。
hXnbX1slS 当然您也可以在网上下载汉化包。
CG=%Vu z_ 
>t!M1H& 运行VM程序点NEXT进行安装
[umQCc,Fp 
^4 m }V| 选择安装目录
$+2u6 wWJO 
PL*U`; 选择是否创建桌面，菜单，快速启动快捷方式
D`DeOF1 
. K\'Wmv; 
E>ggQrH 正在进行安装
&IS8(,Pe 
/(W).m^ 完成
YV)*]dN0C 
=eQI_/ 安装完成后运行VM，选择在VM下安装操作系统，如果您已经安装过，并且留有操作系统的备份文件
T@0>?)}w86 那么只需要选择第三项，open existing VM or team导入系统即可。
^xA"*^^qh 首次安装，我们选择第一项，NEW virtual Machine.
tbk7+,$+ 
+~|Z*\ 选择默认安装
Zx{(Tj._ 
IiV F{CIK 选择您想安装的操作，然后放入光盘，其它步骤和正常安装操作系统一样。
`<u
Y~<cg C
*'JK pc 虚拟机下的操作系统完成安装后
%w%/sZ@E 1：我们需要安装VM下的VM TOOLS，这个系统会自动弹出提示，这个是必须安装的。
3oe @x-l 2：另外配制VM系统网络设置。让VM操作系统可以连接到互连网络。
Vx8=k})< 
!pf)}o0 点击VM上面的工具栏，VM－Settings-Ethernet进行配置，二为共享主机IP.
$?dAs -UT#Z9j+P @?u: ;P+1 `_c ;$c 二：安装监控软件
7>)
vz) 在VM系统配置完成后，在VM虚拟系统中安装监控软件，我们选择TINY desktop Firewall 2005PRO（CA） 版本：6.5.126
TO bM.;NW 此版本原版为英文版，网上有汉化包。
e^*x`WJ 安装过程就不再叙述了。
(~H,IsbxI xuyrze VM系统和监控软件完成后，我们过行病毒动态分析，监控其行为。
'E{l_x\d 三：病毒动态分析
Epf"/V<eC2 运行一个病毒样本文件，在此之前先用在线多引擎扫描个结果。
w<+(a}X` 
lNeXQ9n 病毒文件
!z@b%
e"@ 
wa%"sgHs 我们将病毒文件运行，track'n reverse(TM)为监控病毒。
vV3 u8 QA turst this application为信任该程序。允许运行。
o98 E3f 
$ J!GS! Fr 点OK继续
uD/ B9# \Dlp?_| 
} yTW F A 病毒运行后有许多动作都被TINY监控并显示出来
Mb{ ^U8"` 
u{AjnW= 病毒运行后，右键然后选取红色部分可统计病毒具体动作。
=\NTSCJo{b 
t$T6Wd(#^V 看是不是很详细。
a&S6b@6> 统计信息之前请先结束病毒监控，点击图片左上角第三个图标，停止监控（end collecting activity）
x,^CU;#9 再点击view report会出现如图详细信息。
gYR_"5 
!ipt_x1p 如图所视，可导出所有详细信息。。
UmC)R(wP +UU<Enh(^ Quote:
bz^?> FVu@
病毒文件 qbQ`V u@
C:\Documents and Settings\KILL\Local Settings\Temp\~DFF528.tmp a]kT+1TW
C:\WINNT\mapserver.exe Bt"sHgl|
C:\WINNT\MSWINSCK.OCX ir g*n8{%
C:\WINNT\system\mainsv.exe 7
/h(?61U
C:\WINNT\system\mainsv.exe Et S$$^
C:\WINNT\system\ntdllf.exe A{(~f+h*g
C:\WINNT\system\ntdllfnt.exe f9u#>});
C:\WINNT\win.ini (* D=Kg^
D:\autorun.inf iaF iE<W
D:\Iexplores.exe w $;c{MN
M//'m?23z
注册表 hB@(byU7T_
HKCU\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Run >I
E'-p:'
HKLM\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\RunServices m^I/byv)
7>.l7Y&J
监控到的病毒进程C:\WINNT\system\ntdllf.exe
32 24PQL& 
<2w,K[ 打开D盘发现病毒的隐藏文件。
(J/Bv|s ,v Yn"d% 四：如果为VM系统设置还原点
2jkcCe{; 
-K
y[iy 如图所视，可以设置N多还原点，只需要几秒钟就可以把系统还原到您想设定的写。
"a`eE vm--snapshot--takesnap
y4T W:k 搞定了。。慢慢研究。
v Lv5x x&$p7@3 作者：
QrX|_Wj- 反病毒爱好者论坛
k?no I%VX happyboys_xp
