静态分析技术基础

概述

静态分析是指在不运行恶意代码的前提下，通过检查文件的二进制结构、字符串、导入表、代码逻辑等信息来理解其功能和意图。与动态分析相比，静态分析更加安全（不存在样本逃逸风险），能够提供更深入的代码级理解，但通常需要更多的时间和逆向工程技能。

静态分析是恶意代码分析流程中的第一个环节，它能够快速提供样本的概况信息——文件类型、编译器信息、加密/加壳情况、可疑字符串、导入的 API 函数等，为后续的动态分析和深度逆向提供方向指引。即使面对反调试和反沙箱能力很强的恶意代码，静态分析也能提供有价值的信息。

掌握静态分析技术是恶意代码分析师的基本功，也是进一步学习动态分析和高级逆向技术的基础。

核心概念

文件类型识别

文件类型识别是静态分析的第一步，用于确定样本的真实文件格式。不能仅依赖文件扩展名（恶意代码经常伪装扩展名），而应通过 Magic Number（文件头签名）来判断。常用工具包括 file 命令（Linux）、Exeinfo PE（Windows）和 TrID。常见的文件头签名有：PE 文件（4D 5A，即 MZ）、ELF 文件（7F 45 4C 46）、Office 文档（D0 CF 11 E0）、PDF（25 50 44 46）等。

在 Windows 环境中，PE（Portable Executable）格式是最常见的可执行文件格式。此外还需要注意伪装成图片或文档的可执行文件、嵌入宏代码的 Office 文档（.docm、.xlsm）、带恶意脚本的 HTA 文件、以及利用漏洞触发的特殊格式文件。

字符串提取

字符串提取是快速获取样本情报的有效方法。使用 strings 工具（或 FLOSS 工具，可识别混淆字符串）可以从二进制文件中提取可读的文本字符串。有分析价值的字符串包括：URL 和域名（C2 地址）、文件路径（释放路径、感染目标）、注册表键值（持久化机制）、命令行参数、调试信息、错误消息、加密密钥和互斥量名称等。

恶意代码作者常使用字符串混淆技术来对抗静态分析：XOR 加密、Base64 编码、字符串拆分拼接、运行时动态解密等。FLOSS（FLARE Obfuscated String Solver）是 FireEye 开发的自动化字符串解混淆工具，能够识别并解密多种混淆方式下的字符串。

PE 结构分析

PE（Portable Executable）结构分析是 Windows 恶意代码静态分析的核心内容。PE 文件的结构主要包括 DOS 头（DOS Header）、PE 头（PE Header/NT Headers）、节表（Section Table）和各个节（Section）。

关键的分析点包括：导入表（Import Table）列出了程序调用的外部 DLL 和函数，可疑的 API 包括 VirtualAllocEx（内存分配）、WriteProcessMemory（进程内存写入）、CreateRemoteThread（远程线程创建）、URLDownloadToFile（网络下载）等；资源节（Resource Section）中可能嵌入额外的可执行文件或配置数据；节的属性中包含代码执行和读写权限的标志，异常的权限设置可能暗示恶意行为。

PEStudio、PPEE 和 CFF Explorer 是常用的 PE 静态分析工具，它们可以直观地展示 PE 文件的各类信息并标注可疑特征。

查壳与脱壳

加壳（Packing）是恶意代码常用的反分析技术，通过压缩或加密原始代码，并在运行时动态解密执行，从而隐藏真实的代码内容。常见的壳包括 UPX（开源压缩壳）、ASPack、PECompact、VMProtect（虚拟化保护）、Themida 和 Enigma Protector 等。

查壳工具（如 Exeinfo PE、Detect It Easy）可以识别样本使用的壳类型。对于 UPX 等简单壳，可以直接使用 upx -d 命令脱壳；对于自定义壳或复杂壳，需要使用调试器（如 x64dbg）手动跟踪 OEP（Original Entry Point，原始入口点）并在内存中 dump 解密后的代码。常见的手动脱壳方法包括单步跟踪法、ESP 定律和内存断点法。

编译器与时间戳分析

通过 PE 文件的编译时间戳、编译器特征和代码模式可以推断样本的开发环境。Rich Header 包含了编译器版本信息；PE 头的时间戳记录了编译时间（虽然可以被伪造，但仍有一定参考价值）；代码中的特定模式（如函数序言、栈帧布局）可以帮助识别使用的编译器和版本。

这些元数据信息对于威胁情报分析和样本关联具有重要意义——同一攻击者或攻击组织通常使用相同的开发环境和工具链。

实战要点

1. 养成先查壳的习惯：在开始深度分析前，先用 Exeinfo PE 或 DIE 检查样本是否加壳，加壳样本需要先脱壳再分析。
2. 重点分析导入函数：导入表可以快速揭示样本的功能类型——大量网络相关 API 暗示网络通信能力，进程和内存操作 API 暗示注入行为。
3. 使用 FLOSS 代替普通 strings：FLOSS 能够自动识别和解密混淆字符串，提取的信息通常比 strings 命令多得多。
4. 交叉验证信息：不要仅依赖单一工具的输出，应使用多个工具交叉验证，避免因工具局限性导致误判。
5. 建立 IOC 提取习惯：在静态分析过程中同步记录有价值的 IOC（哈希值、域名、IP、文件名等），为后续的检测规则编写提供材料。

总结

静态分析技术是恶意代码分析的基础能力，通过文件类型识别、字符串提取、PE 结构分析和查壳脱壳等技术手段，分析人员可以在不运行样本的情况下获取大量有价值的情报。这些信息不仅有助于判断样本的恶意性和功能类型，也为后续的动态分析和深度逆向指明了方向。

随着恶意代码对抗技术的演进（如更强的混淆、反调试和环境检测），静态分析的难度也在增加。建议分析人员持续学习新的逆向技术，熟练使用 Ghidra、IDA Pro 等反汇编工具，并关注安全社区分享的最新分析方法和工具。