黑客攻防技术宝典 反病毒篇

图书标准信息

• 作者 周雨阳 译
• 出版社 人民邮电出版社
• 出版时间 2017-08
• 版次 01
• ISBN 9787115463333
• 定价 79.00元
• 装帧 平装
• 开本 16开
• 页数 266页
• 正文语种 简体中文
• 丛书 图灵程序设计丛书

【内容简介】

本书由业界知名安全技术人员撰写，系统介绍了逆向工程反病毒软件。主要内容包括：反病毒软件所采纳的各种具体手段，攻击和利用杀毒软件的多种常见方法，杀毒软件市场现状以及未来市场预估。
本书是逆向工程师、渗透测试工程师、安全技术人员和软件开发人员的必读指南。

【作者简介】

【作者简介】

Joxean Koret

逆向工程、漏洞研究和恶意软件分析领域知名专家，安全咨询公司Coseinc安全研究员，经常受邀在国际性安全会议上做演讲。

Elias Bachaalany

安全专家，微软软件安全工程师，曾做过程序员、逆向工程师、自由技术写作者；另与人合著有《逆向工程实战》。

【译者简介】

周雨阳

安全研究员，喜爱英语翻译。研究方向主要为反病毒技术、浏览器安全、Web安全，曾挖掘出谷歌、苹果、雅虎等多个厂商的漏洞并获得致谢。目前就职于腾讯安全平台部。

【目录】

第一部分　反病毒技术入门
第1章　反病毒软件入门2
1．1　何谓反病毒软件2
1．2　反病毒软件的历史与现状2
1．3　反病毒扫描器、内核和产品3
1．4　反病毒软件的典型误区4
1．5　反病毒软件功能5
1．5．1　基础功能5
1．5．2　高级功能8
1．6　总结10
第2章　逆向工程核心11
2．1　逆向分析工具11
2．1．1　命令行工具与GUI工具11
2．1．2　调试符号12
2．1．3　提取调试符号的技巧13
2．2　调试技巧16
2．3　移植内核22
2．4　实战案例：为Linux版Avast编写Python binding23
2．4．1　Linux版Avast简介23
2．4．2　为Linux版Avast编写简单的Python binding25
2．4．3　Python binding的最终版本30
2．5　实战案例：为Linux版Comodo编写本机C/C++工具30
2．6　内核加载的其他部分46
2．7　总结47
第3章　插件系统48
3．1　插件加载原理48
3．1．1　反病毒软件的全功能链接器49
3．1．2　理解动态加载49
3．1．3　插件打包方式的利弊50
3．2　反病毒插件的种类52
3．2．1　扫描器和通用侦测程序52
3．2．2　支持文件格式和协议53
3．2．3　启发式检测54
3．3　高级插件57
3．3．1　内存扫描器57
3．3．2　非本机代码58
3．3．3　脚本语言59
3．3．4　模拟器60
3．4　总结61
第4章　反病毒特征码技术62
4．1　典型特征码62
4．1．1　字节流62
4．1．2　校验和63
4．1．3　定制的校验和63
4．1．4　加密散列算法64
4．2　高级特征码64
4．2．1　模糊散列算法65
4．2．2　基于程序图的可执行文件散列算法66
4．3　总结68
第5章　反病毒软件的更新系统69
5．1　理解更新协议69
5．1．1　支持SSL/TLS70
5．1．2　验证更新文件71
5．2　剖析更新协议72
5．3　错误的保护79
5．4　总结79
第二部分　绕过反病毒软件
第6章　绕过反病毒软件82
6．1　谁会使用反病毒软件的绕过技术82
6．2　探究反病毒软件侦测恶意软件的方式83
6．2．1　用于侦测恶意软件的老把戏：分治算法83
6．2．2　二进制指令和污点分析88
6．3　总结89
第7章　绕过特征码识别90
7．1　文件格式：偏门案例和无文档说明案例90
7．2　绕过现实中的特征码91
7．3　绕过特定文件格式的相关提示和技巧96
7．3．1　PE文件96
7．3．2　JavaScript98
7．3．3　PDF100
7．4　总结102
第8章　绕过扫描器104
8．1　绕过技术的通用提示和策略104
8．1．1　识别分析模拟器105
8．1．2　高级绕过技巧106
8．2　自动化绕过扫描器117
8．2．1　初始步骤117
8．2．2　MultiAV配置121
8．2．3　peCloak125
8．2．4　编写终极工具126
8．3　总结128
第9章　绕过启发式引擎130
9．1　启发式引擎种类130
9．1．1　静态启发式引擎130
9．1．2　绕过简单的静态启发式引擎131
9．1．3　动态启发式引擎137
9．2　总结142
第10章　确定攻击面144
10．1　理解本地攻击面145
10．1．1　查找文件和系统目录权限的弱点145
10．1．2　权限提升146
10．2　错误的访问控制列表146
10．2．1　在Unix平台上利用SUID和SGID二进制文件漏洞148
10．2．2　程序和二进制文件的ASLR和DEP保护149
10．2．3　利用Windows对象的错误权限151
10．2．4　利用逻辑缺陷153
10．3　理解远程攻击面155
10．3．1　文件解析器155
10．3．2　通用侦测和感染文件修复代码156
10．3．3　网络服务、管理面板和控制台156
10．3．4　防火墙、入侵监测系统和解析器157
10．3．5　更新服务157
10．3．6　浏览器插件157
10．3．7　安全增强软件158
10．4　总结159
第11章　拒绝服务攻击161
11．1　本地拒绝服务攻击161
11．1．1　压缩炸弹162
11．1．2　文件格式解析器中的缺陷165
11．1．3　攻击内核驱动165
11．2　远程拒绝服务攻击166
11．2．1　压缩炸弹166
11．2．2　文件格式解析器中的缺陷167
11．3　总结167
第三部分　分析与攻击
第12章　静态分析170
12．1　手动二进制审计170
12．1．1　文件格式解析器170
12．1．2　远程服务177
12．2　总结181
第13章　动态分析182
13．1　模糊测试182
13．1．1　模糊测试工具是什么182
13．1．2　简单的模糊测试183
13．1．3　对反病毒产品的自动化模糊测试185
13．1．4　找到好的模糊测试模版192
13．1．5　查找模版文件194
13．1．6　使代码覆盖率最大化196
13．1．7　模糊测试套组Nightmare201
13．2　总结207
第14章　本地攻击209
14．1　利用后门和隐藏功能209
14．2　挖掘非法特权、权限分配和访问控制列表213
14．3　在内核态查找隐蔽的功能特性217
14．4　更多的内核逻辑漏洞223
14．5　总结231
第15章　远程漏洞233
15．1　实施客户端漏洞利用攻击233
15．1．1　利用沙盒的缺陷233
15．1．2　利用ASLR、DEP和位于固定地址的RWX页面漏洞234
15．1．3　编写复杂的payload235
15．1．4　利用更新服务中的漏洞240
15．2　服务器端的漏洞利用248
15．2．1　客户端和服务器端漏洞利用的区别248
15．2．2　利用ASLR、DEP和地址固定的RWX内存页面相关漏洞249
15．3　总结249
第四部分　当前趋势与建议
第16章　当前反病毒防护趋势252
16．1　匹配攻击技术与目标252
16．1．1　多种多样的反病毒产品252
16．1．2　针对家庭用户253
16．1．3　针对中小型公司254
16．2　针对政府机构和大型公司254
16．3　总结255
第17章　一些建议和未来展望256
17．1　给反病毒软件用户的建议256
17．1．1　盲目信任是错误的256
17．1．2　隔离机器来增强防护260
17．1．3　审计反病毒产品261
17．2　给反病毒厂商的建议261
17．2．1　优秀的工程师并不代表安全261
17．2．2　利用反病毒软件的漏洞很简单262
17．2．3　进行审计262
17．2．4　模糊测试262
17．2．5　安全地使用权限263
17．2．6　减少解析器中的危险代码263
17．2．7　改进升级服务和协议的安全性264
17．2．8　删除或禁用旧代码264
17．3　总结265