恶意代码原理、技术与防范

第1章 恶意代码概述 1
1.1 恶意代码的概念 1
1.1.1 恶意代码的定义 1
1.1.2 恶意代码的类型 2
1.1.3 恶意代码攻击模型 4
1.2 恶意代码的发展历程 5
1.2.1 产生阶段 5
1.2.2 初级发展阶段 6
1.2.3 互联网爆发阶段 6
1.2.4 专业综合阶段 7
1.3 恶意代码的命名 8
1.3.1 个性化命名方法 8
1.3.2 三元组命名方法 9
1.4 恶意代码的传播途径 10
1.5 恶意代码的发展趋势 10
1.6 思考题 10
第2章 引导型恶意代码 11
2.1 Windows引导过程 11
2.1.1 固件BIOS引导过程 11
2.1.2 UEFI的引导过程 14
2.1.3 Windows操作系统引导过程 17
2.2 引导型病毒 19
2.2.1 引导型病毒的原理 20
2.2.2 引导型病毒的实现 20
2.3 引导型Bootkit 22
2.3.1 基于MBR的Bootkit 22
2.3.2 基于UEFI的Bootkit 24
2.4 思考题 26
第3章 计算机病毒 27
3.1 计算机病毒概述 27
3.1.1 计算机病毒的基本概念 27
3.1.2 计算机病毒的原理 28
3.2 Win32病毒 32
3.2.1 PE文件的格式 32
3.2.2 Win32病毒关键技术 37
3.3 宏病毒 41
3.3.1 宏病毒概述 41
3.3.2 宏病毒的原理 42
3.3.3 宏病毒的防范 45
3.4 脚本病毒 46
3.4.1 Windows脚本 46
3.4.2 PowerShell病毒原理 47
3.4.3 脚本病毒的防范 49
3.5 思考题 49
第4章 特洛伊木马 51
4.1 木马概述 51
4.1.1 木马的基本概念 51
4.1.2 木马的组成与通信架构 55
4.1.3 木马的工作流程 57
4.1.4 木马的植入方法 58
4.2 木马的启动技术 60
4.2.1 利用系统配置启动 60
4.2.2 利用注册表启动 61
4.2.3 利用劫持技术启动 62
4.2.4 利用计划任务启动 65
4.2.5 其他方式 66
4.3 木马的隐藏技术 66
4.3.1 文件隐藏 66
4.3.2 进程隐藏 69
4.3.3 通信隐藏 70
4.4 思考题 73
第5章 蠕虫 74
5.1 蠕虫概述 74
5.1.1 蠕虫的定义 74
5.1.2 蠕虫的分类 75
5.1.3 蠕虫的行为特征 76
5.2 蠕虫的工作原理 77
5.2.1 蠕虫的组成与结构 77
5.2.2 蠕虫的工作流程 78
5.3 典型蠕虫分析 79
5.3.1 “震网”蠕虫简介 79
5.3.2 “震网”蠕虫的工作原理 79
5.4 蠕虫的防范 82
5.5 思考题 83
第6章 Rootkit 84
6.1 Rootkit概述 84
6.1.1 Rootkit的定义 84
6.1.2 Rootkit的特性 84
6.1.3 Rootkit的分类 85
6.2 Rootkit技术基础 85
6.2.1 Windows系统的分层结构 85
6.2.2 用户层到内核层的转换 87
6.3 应用层Rootkit 88
6.3.1 应用层Hooking技术 88
6.3.2 注入技术 90
6.3.3 应用层Hooking实例 92
6.4 内核层Rootkit 93
6.4.1 内核层Hooking 94
6.4.2 DKOM技术 95
6.4.3 内核层Hooking实例 97
6.5 Rootkit的防范与检测 101
6.5.1 Rootkit的防范 101
6.5.2 Rootkit的检测 102
6.6 思考题 103
第7章 智能手机恶意代码 104
7.1 智能手机恶意代码概述 104
7.1.1 智能手机操作系统 104
7.1.2 智能手机恶意代码简述 105
7.1.3 智能手机恶意代码的传播途径 106
7.2 Android恶意代码 107
7.2.1 Android概述 107
7.2.2 Android进程沙箱逃逸技术 107
7.2.3 Android应用程序签名机制绕过技术 107
7.2.4 Android恶意代码实例 108
7.3 iOS恶意代码 110
7.3.1 iOS概述 110
7.3.2 iOS代码签名绕过技术 110
7.3.3 iOS安全启动链劫持技术 111
7.3.4 iOS沙盒逃逸技术 112
7.3.5 iOS后台持久化技术 112
7.3.6 iOS内核地址空间布局随机化突破技术 113
7.3.7 iOS恶意代码实例 113
7.3.8 iOS应用程序插件开发 115
7.4 智能手机恶意代码防范 117
7.4.1 防范策略 117
7.4.2 防范工具 118
7.5 思考题 120
第8章 特征码定位与免杀 121
8.1 恶意代码的特征码 121
8.1.1 特征码的基本概念 121
8.1.2 特征码的类型 122
8.2 特征码定位原理 122
8.2.1 分块填充定位法 122
8.2.2 分块保留定位法 124
8.2.3 特征定位工具应用 127
8.3 恶意代码免杀技术 130
8.3.1 PE文件头免杀方法 130
8.3.2 导入表免杀方法 131
8.3.3 代码段免杀方法 133
8.3.4 数据段免杀方法 137
8.3.5 利用编译器转换的免杀方法 138
8.4 思考题 138
第9章 加密技术与加壳技术 139
9.1 加密技术 139
9.1.1 加密技术概述 139
9.1.2 加密算法简介 139
9.1.3 软件的加密 143
9.1.4 加密策略 146
9.2 加壳技术 147
9.2.1 软件壳概述 147
9.2.2 软件壳的分类 148
9.2.3 加壳原理与实现 151
9.3 虚拟机保护技术 156
9.3.1 虚拟机保护技术概述 156
9.3.2 虚拟机保护技术的实现 157
9.4 思考题 159
第10章 代码混淆技术 160
10.1 代码混淆技术概述 160
10.1.1 代码混淆技术的定义 160
10.1.2 代码混淆技术的功能 160
10.1.3 代码混淆技术的优缺点 161
10.1.4 代码混淆技术的分类 161
10.2 语法层混淆 162
10.2.1 填充和压缩 162
10.2.2 标志符替代 162
10.2.3 编码混淆 163
10.2.4 字符串混淆 163
10.2.5 函数参数混淆 163
10.2.6 语法层混淆的缺陷 164
10.3 控制流混淆 165
10.3.1 控制流压扁法 165
10.3.2 分支引入法 167
10.3.3 利用异常处理隐藏条件分支 169
10.4 数据混淆 171
10.4.1 整型混淆 171
10.4.2 布尔混淆 172
10.4.3 常量混淆 173
10.4.4 数组混淆 173
10.4.5 结构混淆 174
10.5 思考题 175
第11章 反动态分析技术 176
11.1 反动态分析技术概述 176
11.1.1 反动态分析技术的分类 176
11.1.2 反动态分析技术的依赖性 177
11.2 反调试技术 177
11.2.1 探测调试器 177
11.2.2 识别调试器行为 184
11.2.3 干扰调试器 189
11.3 虚拟机检测技术 193
11.3.1 检测虚拟机痕迹 194
11.3.2 从内存中检测虚拟机 195
11.3.3 检测通信I/O端口 198
11.4 思考题 199
第12章 恶意代码防范技术 200
12.1 恶意代码防范技术概述 200
12.1.1 恶意代码防范技术的发展 200
12.1.2 恶意代码的防范思路 200
12.2 恶意代码检测技术 201
12.2.1 恶意代码检测技术概述 201
12.2.2 特征码检测技术 205
12.2.3 动态检测技术 210
12.2.4 其他检测技术 212
12.3 恶意代码清除 214
12.3.1 清除恶意代码的一般原则 214
12.3.2 清除恶意代码的原理 215
12.3.3 清除恶意代码的方法 216
12.4 恶意代码预防 217
12.4.1 恶意代码查杀软件 217
12.4.2 系统监控技术 219
12.4.3 系统免疫技术 219
12.4.4 系统加固技术 221
12.5 数据备份与数据恢复 221
12.5.1 数据备份 222
12.5.2 数据恢复 223
12.6 思考题 225
参考文献 226