正版现货新书 万径寻踪:Windows入侵检测与防御编程:卷二 9787302708803 谭文，周钰淇，郭艳君著

谭文 某互联网企业安全技术专家，2002年毕业于西安交通大学信息工程专业，从事底层及安全相关开发二十余年。曾参与或带领团队开发DLP、防火墙、模拟器、反病毒软件、业务安全等诸多业内著名产品，亲手编写的代码在日活千万级的用户机器上稳定运行，守护着用户与系统的安全。著有《天书夜读：从汇编语言到Windows内核编程》《寒江独钓：Windows内核安全编程》《Windows内核编程》等多部技术专著。业余爱好射箭和剑道，为上海华剑馆弟子。

恶意行为防御篇

第13章 NDIS过滤实现低层网络行为防御

13.1 恶意的低层网络行为

13.1.1 网络行为防御与防火墙

13.1.2 以太网层的恶意网络行为

13.1.3 IP层的恶意网络行为

13.1.4 TCP/UDP层的恶意网络行为

13.1.5 恶意网络行为的工具

13.2 NDIS过滤器驱动基础

13.2.1 NDIS驱动的基础知识

13.2.2 NDIS过滤器驱动介绍

13.2.3 NDIS过滤器状态和分类

13.3 NDIS过滤器驱动框架编程

13.3.1 新建项目并引入头文件

13.3.2 初始化与反初始化

13.3.3 必需函数的实现

13.3.4 收包与发包

13.4 NDIS过滤器用于防御网络攻击

13.4.1 简单的以太网包过滤代码

13.4.2 NDIS过滤器驱动的安装

13.4.3 攻击防御实验演示

13.5 NDIS过滤器检测本机恶意行为

13.5.1 IP包和相关数据结构

13.5.2 监控进程发包的实现

13.5.3 演示效果

13.6 小结与练习

第14章 WFP过滤实现高层网络行为防御

14.1 高层网络协议基础知识

14.1.1 TCP和UDP的基础知识

14.1.2 从TCP到HTTP和HTTPS

14.1.3 高层网络协议相关的恶意行为

14.2 WFP驱动框架

14.2.1 WFP的相关概念概述

14.2.2 WFP驱动框架的初始化

14.2.3 TCP监控的初始化

14.2.4 UDP监控的初始化

14.2.5 卸载和资源释放

14.3 WFP实现的网络行为监控

14.3.1 对进程TCP连接行为的监控实现

14.3.2 对进程域名解析行为的监控实现

14.3.3 示例程序的运行演示

14.4 小结与练习

第15章 内核回调实现的跨进程防御

15.1 跨进程恶意行为

15.1.1 常见的恶意跨进程行为

15.1.2 进程注入的主要操作

15.1.3 使用跨进程注入的工具

15.2 Ob回调：进程打开的防御

15.2.1 利用ObCallbackInit注册Ob回调

15.2.2 在前回调中监控进程打开行为

15.2.3 监控可能恶意的进程打开行为

15.3 Ps回调：进程、线程、模块防御

15.3.1 Ps进程创建回调的应用

15.3.2 Ps线程创建回调的应用

15.3.3 Ps模块加载回调的应用

15.3.4 所有回调的集成测试

15.4 小结与练习

第16章 VT技术实现的系统调用行为防御

16.1 系统调用挂钩与VT原理

16.1.1 系统调用原理

16.1.2 系统调用的挂钩

16.1.3 VT技术挂钩原理

16.2 基于DdiMon实现内核挂钩

……

持久化防御篇

硬件与潜藏防御篇

附录A 随书源码说明

本书从企业内网面临的各种实际威胁出发，引出Windows上运行的基于主机的入侵检测与防御系统，由浅入深地介绍其技术基础、原理与源码实现。 全书聚焦恶意攻击的恶意代码所产生的各种恶意行为，包括网络行为、跨进程行为、系统调用行为、持久化行为，潜藏行为，并始终以行为作为入侵检测依据，深入介绍WFP过滤驱动、NDIS过滤驱动、注册表过滤驱动、COM挂钩技术、恶意硬件监控技术、基于VT的系统调用监控技术、rootkit和bootkit的原理与检测和防御技术，多层次地构筑有效的主机入侵检测和防御体系。通过本书，读者将了解攻击者的惯用套路，并从源码角度了解为Windows构筑内核和用户态安全功能的主机防御系统的具体开发与实现过程，从而对主机安全防御形成整体而深刻的认知，并熟练应用于实际开发中。 本书的读者对象包括具有一定C语言基础的高等院校师生、计算机与网络安全行业从业者、计算机安全爱好者、企业内网络安全管理人员。