恶意代码分析实战/安全技术大系
全新正版 极速发货
￥ 78.52 4.4折 ￥ 178 全新
库存4件
广东广州
认证卖家担保交易快速发货售后保障
作者MichaelSikorski
出版社电子工业出版社
ISBN9787121224683
出版时间2020-10
装帧平装
开本16开
定价178元
货号30993791
上书时间2024-06-05
商品详情
- 品相描述：全新
- 商品描述
-
作者简介
MichaelSikorski，AndrewHonig，虽不是安全领域中名声很大的人物，但从背景来看都是工作在一线的安全工程师与培训讲师，相信本书应是一本从事计算机病毒、恶意代码分析的专业人士，以及计算机病毒领域爱好者案头必备的一本实践指南参考书。
目录
目 录
第0章 恶意代码分析技术入门1
0.1 恶意代码分析目标1
0.2 恶意代码分析技术2
0.2.1 静态分析基础技术2
0.2.2 动态分析基础技术2
0.2.3 静态分析高级技术2
0.2.4 动态分析高级技术2
0.3 恶意代码类型3
0.4 恶意代码分析通用规则4
第 1 篇 静态分析
第1章 静态分析基础技术 6
1.1 反病毒引擎扫描：实用的第一步6
1.2 哈希值：恶意代码的指纹7
1.3 查找字符串7
1.4 加壳与混淆恶意代码9
1.4.1 文件加壳10
1.4.2 使用PEiD 检测加壳10
1.5 PE 文件格式11
1.6 链接库与函数12
1.6.1 静态链接、运行时链接与动态链接12
1.6.2 使用Dependency Walker 工具探索动态链接函数13
1.6.3 导入函数14
1.6.4 导出函数15
1.7 静态分析技术实践15
1.7.1 PotentialKeylogger.exe：一个未加壳的可执行文件15
1.7.2 PackedProgram.exe：穷途末路18
1.8 PE 文件头与分节18
1.8.1 使用PEview 来分析PE 文件19
1.8.2 使用Resource Hacker 工具来查看资源节22
1.8.3 使用其他的PE 文件工具23
1.8.4 PE 文件头概述23
1.9 小结24
1.10 实验24
第2章 在虚拟机中分析恶意代码 27
2.1 虚拟机的结构27
2.2 创建恶意代码分析机28
2.2.1 配置VMware29
2.2.2 断开网络30
2.2.3 创建主机模式网络30
2.2.4 使用多个虚拟机30
2.3 使用恶意代码分析机31
2.3.1 让恶意代码连接互联网31
2.3.2 连接和断开外围设备32
2.3.3 拍摄快照32
2.3.4 从虚拟机传输文件33
2.4 使用VMware 进行恶意代码分析的风险34
2.5 记录/重放：重复计算机运行轨迹34
2.6 小结35
第3章 动态分析基础技术 36
3.1 沙箱：简便但粗糙的方法36
3.1.1 使用恶意代码沙箱36
3.1.2 沙箱的缺点37
3.2 运行恶意代码38
3.3 进程监视器39
3.3.1 进程监视器的显示40
3.3.2 进程监视器中的过滤41
3.4 使用进程浏览器（Process Explorer）来查看进程43
3.4.1 进程浏览器的显示43
3.4.2 使用验证选项44
3.4.3 比较字符串45
3.4.4 使用依赖遍历器（Dependency Walker）45
3.4.5 分析恶意文档46
3.5 使用Regshot 来比较注册表快照46
3.6 模拟网络47
3.6.1 使用ApateDNS47
3.6.2 使用Netcat 进行监视48
3.7 使用Wireshark 进行数据包监听49
3.8 使用INetSim51
3.9 基础动态分析工具实践52
3.10 小结55
3.11 实验56
第 2 篇 静态分析高级技术篇
第4章 x86 反汇编速成班 60
4.1 抽象层次60
4.2 逆向工程62
4.3 x86 体系结构62
4.3.1 内存63
4.3.2 指令64
4.3.3 操作码和字节序64
4.3.4 操作数65
4.3.5 寄存器65
4.3.6 简单指令67
4.3.7 栈70
4.3.8 条件指令73
4.3.9 分支指令73
4.3.10 重复指令74
4.3.11 C 语言主函数和偏移76
4.3.12 更多信息：Intel x86 Architecture Manual77
4.4 小结78
第5章 IDA Pro 79
5.1 加载一个可执行文件79
5.2 IDA Pro 接口81
5.2.1 反汇编窗口模式81
5.2.2 对分析有用的窗口83
5.2.3 返回到默认视图83
5.2.4 导航IDA Pro 83
5.2.5 搜索85
5.3 使用交叉引用86
5.3.1 代码交叉引用87
5.3.2 数据交叉引用88
5.4 分析函数88
5.5 使用图形选项89
5.6 增强反汇编91
5.6.1 重命名位置91
5.6.2 注释92
5.6.3 格式化操作数92
5.6.4 使用命名的常量93
5.6.5 重新定义代码和数据94
5.7 用插件扩展IDA95
5.7.1 使用IDC 脚本96
5.7.2 使用IDAPython97
5.7.3 使用商业插件97
5.8 小结98
5.9 实验98
第6章 识别汇编中的C代码结构 100
6.1 全局与局部变量101
6.2 反汇编算术操作102
6.3 识别if 语句104
6.3.1 用IDA Pro 图形化分析函数105
6.3.2 识别嵌套的if 语句106
6.4 识别循环107
6.4.1 找到for 循环107
6.4.2 找到while 循环109
6.5 理解函数调用约定110
6.5.1 cdecl110
6.5.2 stdcall 111
6.5.3 fastcall 111
6.5.4 压栈与移动 111
6.6 分析switch 语句112
6.6.1 If 样式112
6.6.2 跳转表114
6.7 反汇编数组118
6.8 识别结构体119
6.9 分析链表遍历121
6.10 小结123
6.11 实验123
第7章 分析恶意Windows程序 126
7.1 Windows API126
7.1.1 类型和匈牙利表达法126
7.1.2 句柄127
7.1.3 文件系统函数127
7.1.4 特殊文件128
7.2 Windows 注册表129
7.2.1 注册表根键130
7.2.2 Regedit131
7.2.3 自启动程序131
7.2.4 常用注册表函数131
7.2.5 练习分析注册表操作代码132
7.2.6 使用.reg 文件的注册表脚本133
7.3 网络API133
7.3.1 伯克利兼容套接字134
7.3.2 网络的服务器和客户端134
7.3.3 WinINet API 135
7.4 跟踪恶意代码的运行136
7.4.1 DLL136
7.4.2 进程137
7.4.3 线程139
7.4.4 使用互斥量的进程间协作142
7.4.5 服务143
7.4.6 组件对象模型145
7.4.7 异常：当事情出错时147
7.5 内核与用户模式148
7.6 原生API149
7.7 小结151
7.8 实验151
第 3 篇 动态分析高级技术篇
第8章 动态调试 154
8.1 源代码级与汇编级的调试器154
8.2 内核模式与用户模式调试155
8.3 使用调试器155
8.3.1 单步调试155
8.3.2 单步跳过（Stepping-Over）和单步跳入（Stepping-Into）156
8.3.3 用断点暂停执行157
8.4 异常161
8.4.1 首次和二次异常处理162
8.4.2 常见异常162
8.5 使用调试器修改可执行文件163
8.6 修改可执行程序的实践163
8.7 小结164
第9 章 OllyDbg 165
9.1 加载恶意代码165
9.1.1 打开一个可执行文件165
9.1.2 附加调试器到一个运行程序166
9.2 OllyDbg 的接口167
9.3 内存映射168
9.3.1 基地址重定位169
9.4 查看线程和堆栈170
9.5 执行代码171
9.6 断点172
9.6.1 软件断点173
9.6.2 条件断点174
9.6.3 硬件断点175
9.6.4 内存断点175
9.7 加载DLL176
9.8 跟踪177
9.8.1 标准回溯跟踪177
9.8.2 堆栈调用跟踪178
9.8.3 运行跟踪178
9.8.4 跟踪Poison Ivy178
9.9 异常处理179
9.10 修补180
9.11 分析shellcode181
9.12 协助功能182
9.13 插件182
9.13.1 OllyDump183
9.13.2 调试器隐藏插件183
9.13.3 命令行184
9.13.4 书签185
9.14 脚本调试185
9.15 小结186
9.16 实验187
第10章 使用WinDbg 调试内核 189
10.1 驱动与内核代码189
10.2 安装内核调试191
10.3 使用WinDbg193
10.3.1 从内存中读取194
10.3.2 使用算术操作符194
10.3.3 设置断点194
10.3.4 列举模块195
10.4 微软符号表195
10.4.1 搜索符号195
10.4.2 查看结构信息196
10.4.3 配置Windows 符号表198
10.5 内核调试实践198
10.5.1 用户空间的代码198
10.5.2 内核模式的代码200
10.5.3 查找驱动对象203
10.6 Rootkit204
10.6.1 Rootkit 分析实践205
10.6.2 中断208
10.7 加载驱动209
10.8 Windows Vista、Windows 7 和x64 版本的内核问题209
10.9 小结210
10.10 实验210
第 4 篇 恶意代码功能篇
第11章 恶意代码行为 214
11.1 下载器和启动器214
11.2 后门（backdoor）214
11.2.1 反向shell215
11.2.2 远程控制工具216
11.2.3 僵尸网络216
11.2.4 远程控制工具与僵尸网络的比较217
11.3 登录凭证窃密器217
11.3.1 GINA 拦截217
11.3.2 口令哈希转储218
11.3.3 击键记录221
11.4 存活机制223
11.4.1 Windows 注册
内容摘要
本书是一本内容全面的恶意代码分析技术指南，其内容兼顾理论，重在实践，从不同方面为读者讲解恶意代码分析的实用技术方法。
本书分为21章，覆盖恶意代码行为、恶意代码静态分析方法、恶意代码动态分析方法、恶意代码对抗与反对抗方法等，并包含了shellcode分析，C++恶意代码分析，以及64位恶意代码分析方法的介绍。本书多个章节后面都配有实验并配有实验的详细讲解与分析。通过每章的介绍及章后的实验，本书一步一个台阶地帮助初学者从零开始建立起恶意代码分析的基本技能。
本书获得业界的一致好评，IDAPro的作者IlfakGuilfanov这样评价本书：“一本恶意代码分析的实践入门指南，我把这本书推荐给所有希望解剖Windows恶意代码的读者”。
主编推荐
"不管你是否有恶意代码分析的背景和经验，《恶意代码分析实战》极其丰富的内容都将使你获益匪浅。
《恶意代码分析实战》教你如何、以及何时使用恶意代码分析技术，深入掌握恶意代码分析工具的核心功能，从而达到准确诊断、及时突破、快速响应的效果。
《恶意代码分析实战》一经问世，便赢来业内好评如潮，被业内人士一致推荐为入门、晋级的读本。
详尽，经典——每一位认真学习过《恶意代码分析实战》的读者，必将在恶意代码分析的专业技能上获得巨大的提升。"
媒体评论
"《恶意代码分析实战》是业内认可的迄今为止很好的一本恶意代码分析指南，《恶意代码分析实战》也是每一位恶意代码分析师都必须作为指导手册珍藏的案头推荐。
《恶意代码分析实战》既是一本教材，也是一本动手实践的指南。不仅教会你如何分析恶意代码（技术指导），而且配了大量的实验练习、案例、答案以及详细的分析过程，同时还包含很多用作案例的恶意代码样本，提供了丰富、安全的学习环境。
针对初学者：本书的技术内容、实验作业可以帮你渐入佳境；
针对中级读者：本书大量的分析实践会直接带你进入更高的级别，臻入化境。"
— 没有更多了 —
以下为对购买帮助不大的评价