內容簡介
一本囊括靈活的技巧、操作係統架構觀察以及攻擊者和防禦者創新所使用的設計模式的書，基於三位出色安全專家的大量案例研究和專業研究，主要內容包括：Windows如何啟動，在哪裏找到漏洞；引導過程安全機製(如安全引導)的詳細信息，包括虛擬安全模式(VSM)和設備保護的概述；如何通過逆向工程和取證技術分析真正的惡意軟件；如何使用仿真和Bochs和IDAPro等工具執行靜態和動態分析；如何更好地了解BIOS和UEFI固件威脅的交付階段，以創建檢測功能；如何使用虛擬化工具，如VMwareWorkstation；深入分析逆向工程中的Bootkit和IntelChipsec。
作者簡介
目錄
序言前言
致謝
關於作者
關於技術審校
第一部分 Rootkit
第1章 Rootkit原理：TDL3案例研究2
1.1 TDL3在真實環境中的傳播歷史2
1.2 感染例程3
1.3 控製數據流5
1.4 隱藏的文件係統8
1.5 小結：TDL3也有“天敵”9
第2章 FestiRootkit：先進的垃圾郵件和DDoS僵屍網絡10
2.1 Festi僵屍網絡的案例10
2.2 剖析Rootkit驅動程序11
2.3 Festi網絡通信協議20
2.4 繞過安全和取證軟件22
2.5 C&C故障的域名生成算法24
2.6 惡意的功能25
2.7 小結28
第3章 觀察Rootkit感染29
3.1 攔截的方法29
3.2 恢複係統內核35
3.3 偉大的Rootkit軍備競賽：一個懷舊的筆記36
3.4 小結37
第二部分 Bootkit
第4章 Bootkit的演變40
4.1 第一個Bootkit惡意程序40
4.2 Bootkit病毒的演變42
4.3 新一代Bootkit惡意軟件43
4.4 小結45
第5章 操作係統啟動過程要點46
5.1 Windows引導過程的高級概述47
5.2 傳統引導過程47
5.3 Windows係統的引導過程48
5.4 小結55
第6章 引導過程安全性56
6.1 ELAM模塊56
6.2 微軟內核模式代碼簽名策略59
6.3 SecureBoot技術64
6.4 Windows10中基於虛擬化的安全65
6.5 小結66
第7章 Bootkit感染技術68
7.1 MBR感染技術68
7.2 VBR/IPL感染技術75
7.3 小結76
第8章 使用IDAPro對Bootkit進行靜態分析77
8.1 分析BootkitMBR78
8.2 VBR業務分析技術86
8.3 高級IDAPro的使用：編寫自定義MBR加載器88
8.4 小結92
8.5 練習92
第9章 Bootkit動態分析：仿真和虛擬化94
9.1 使用Bochs進行仿真94
9.2 使用VMwareWorkstation進行虛擬化102
9.3 微軟Hyper-V和OracleVirtualBox106
9.4 小結107
9.5 練習107
第10章 MBR和VBR感染技術的演變：Olmasco109
10.1 Dropper109
10.2 Bootkit的功能113
10.3 Rootkit的功能115
10.4 小結119
第11章 IPLBootkit：Rovnix和Carberp120
11.1 Rovnix的演化120
11.2 Bootkit架構121
11.3 感染係統122
11.4 感染後的引導過程和IPL124
11.5 內核模式驅動程序的功能134
11.6 隱藏的文件係統137
11.7 隱藏的通信信道139
11.8 案例研究：與Carberp的聯係140
11.9 小結143
第12章 Gapz：高級VBR感染144
12.1 GapzDropper145
12.2 使用GapzBootkit感染係統152
12.3 GapzRootkit的功能156
12.4 隱藏存儲158
12.5 小結170
第13章 MBR勒索軟件的興起171
13.1 現代勒索軟件簡史171
13.2 勒索軟件與Bootkit功能172
13.3 勒索軟件的運作方式173
13.4 分析Petya勒索軟件174
13.5 分析Satana勒索軟件187
13.6 小結191
第14章 UEFI與MBR/VBR引導過程193
14.1 統一可擴展固件接口193
14.2 傳統BIOS和UEFI引導過程之間的差異194
14.3 GUID分區表的細節197
14.4 UEFI固件的工作原理200
14.5 小結211
第15章 當代UEFIBootkit212
15.1 傳統BIOS威脅的概述213
15.2 所有硬件都有固件218
15.3 感染BIOS的方法221
15.4 理解Rootkit注入224
15.5 真實環境中的UEFIRootkit229
15.6 小結238
第16章 UEFI固件漏洞239
16.1 固件易受攻擊的原因239
16.2 對UEFI固件漏洞進行分類242
16.3 UEFI固件保護的歷史244
16.4 IntelBootGuard249
16.5 SMM模塊中的漏洞252
16.6 S3引導腳本中的漏洞256
16.7 Intel管理引擎中的漏洞260
16.8 小結263
第三部分 防護和取證技術
第17章 UEFISecureBoot的工作方式266
17.1 什麼是SecureBoot266
17.2 UEFISecureBoot實現細節267
17.3 攻擊SecureBoot279
17.4 通過驗證和測量引導保護SecureBoot282
17.5 IntelBootGuard283
17.6 ARM可信引導板288
17.7 驗證引導與固件Rootkit292
17.8 小結293
第18章 分析隱藏文件係統的方法294
18.1 隱藏文件係統概述294
18.2 從隱藏的文件係統中檢索Bootkit數據295
18.3 解析隱藏的文件係統映像301
18.4 HiddenFsReader工具302
18.5 小結303
第19章 BIOS/UEFI取證：固件獲取和分析方法304
19.1 取證技術的局限性304
19.2 為什麼固件取證很重要305
19.3 了解固件獲取306
19.4 實現固件獲取的軟件方法307
19.5 實現固件獲取的硬件方法313
19.6 使用UEFITool分析固件映像318
19.7 使用Chipsec分析固件映像323
19.8 小結327
······
最後修改：2024 年 09 月 03 日
© 允許規範轉載