了得網計算機/網絡_Rootkit和Bootkit：現代惡意軟件逆向分析和下一代威脅

內容簡介

一本囊括靈活的技巧、操作繫統架構觀察以及攻擊者和防御者創新所使用的設計模式的書，基於三位出色安全專家的大量案例研究和專業研究，主要內容包括：Windows如何啟動，在哪裡找到漏洞；引導過程安全機制(如安全引導)的詳細信息，包括虛擬安全模式(VSM)和設備保護的概述；如何通過逆向工程和取證技術分析真正的惡意軟件；如何使用仿真和Bochs和IDA Pro等工具執行靜態和動態分析；如何更好地了解BIOS和UEFI固件威脅的交付階段，以創建檢測功能；如何使用虛擬化工具，如VMware Workstation；深入分析逆向工程中的Bootkit和Intel Chipsec。

序言
前言
致謝
關於作者
關於技術審校
部分Rootkit
第1章Rootkit原理：TDL3案例研究2
1.1TDL3在真實環境中的傳播歷史2
1.2感染例程3
1.3控制數據流5
1.4隱藏的文件繫統8
1.5小結：TDL3也有“天敵”9
第2章Festi Rootkit：先進的垃圾郵件和DDoS僵尸網絡10
2.1Festi僵尸網絡的案例10序言
前言
致謝
關於作者
關於技術審校
部分Rootkit
第1章Rootkit原理：TDL3案例研究2
1.1TDL3在真實環境中的傳播歷史2
1.2感染例程3
1.3控制數據流5
1.4隱藏的文件繫統8
1.5小結：TDL3也有“天敵”9
第2章Festi Rootkit：先進的垃圾郵件和DDoS僵尸網絡10
2.1Festi僵尸網絡的案例10
2.2剖析Rootkit驅動程序11
2.3Festi網絡通信協議20
2.4繞過安全和取證軟件22
2.5C&C故障的域名生成算法24
2.6惡意的功能25
2.7小結28
第3章觀察Rootkit感染29
3.1攔截的方法29
3.2恢復繫統內核35
3.3偉大的Rootkit軍備競賽：一個懷舊的筆記36
3.4小結37
第二部分Bootkit
第4章Bootkit的演變40
4.1個Bootkit惡意程序40
4.2Bootkit病毒的演變42
4.3新一代Bootkit惡意軟件43
4.4小結45
第5章操作繫統啟動過程要點46
5.1Windows引導過程的高級概述47
5.2傳統引導過程47
5.3Windows繫統的引導過程48
5.4小結55
第6章引導過程安全性56
6.1ELAM模塊56
6.2微軟內核模式代碼簽名策略59
6.3Secure Boot技術64
6.4Windows 10中基於虛擬化的安全65
6.5小結66
第7章Bootkit感染技術68
7.1MBR感染技術68
7.2VBR / IPL感染技術75
7.3小結76
第8章使用IDA Pro對Bootkit進行靜態分析77
8.1分析Bootkit MBR78
8.2VBR業務分析技術86
8.3高級IDA Pro的使用：編寫自定義MBR加載器88
8.4小結92
8.5練習92
第9章Bootkit動態分析：仿真和虛擬化94
9.1使用Bochs進行仿真94
9.2使用VMware Workstation進行虛擬化102
9.3微軟Hyper-V和Oracle VirtualBox106
9.4小結107
9.5練習107
第10章MBR和VBR感染技術的演變：Olmasco109
10.1Dropper109
10.2Bootkit的功能113
10.3Rootkit的功能115
10.4小結119
第11章IPL Bootkit：Rovnix和Carberp120
11.1Rovnix的演化120
11.2Bootkit架構121
11.3感染繫統122
11.4感染後的引導過程和IPL124
11.5內核模式驅動程序的功能134
11.6隱藏的文件繫統137
11.7隱藏的通信信道139
11.8案例研究：與Carberp的聯繫140
11.9小結143
第12章Gapz：高級VBR感染144
12.1Gapz Dropper145
12.2使用Gapz Bootkit感染繫統152
12.3Gapz Rootkit的功能156
12.4隱藏存儲158
12.5小結170
第13章MBR勒索軟件的興起171
13.1現代勒索軟件簡史171
13.2勒索軟件與Bootkit功能172
13.3勒索軟件的運作方式173
13.4分析Petya勒索軟件174
13.5分析Satana勒索軟件187
13.6小結191
第14章UEFI與MBR/VBR 引導過程193
14.1統一可擴展固件接口193
14.2傳統BIOS和UEFI引導過程之間的差異194
14.3GUID分區表的細節197
14.4UEFI固件的工作原理200
14.5小結211
第15章當代UEFI Bootkit212
15.1傳統BIOS威脅的概述213
15.2所有硬件都有固件218
15.3感染BIOS的方法221
15.4理解Rootkit注入224
15.5真實環境中的UEFI Rootkit229
15.6小結238
第16章UEFI固件漏洞239
16.1固件易受攻擊的原因239
16.2對UEFI固件漏洞進行分類242
16.3UEFI固件保護的歷史244
16.4Intel Boot Guard249
16.5SMM模塊中的漏洞252
16.6S3引導腳本中的漏洞256
16.7Intel管理引擎中的漏洞260
16.8小結263
第三部分防護和取證技術
第17章UEFI Secure Boot的工作方式266
17.1什麼是Secure Boot266
17.2UEFI Secure Boot實現細節267
17.3攻擊Secure Boot279
17.4通過驗證和測量引導保護Secure Boot282
17.5Intel Boot Guard283
17.6ARM可信引導板288
17.7驗證引導與固件Rootkit292
17.8小結293
第18章分析隱藏文件繫統的方法294
18.1隱藏文件繫統概述294
18.2從隱藏的文件繫統中檢索Bootkit數據295
18.3解析隱藏的文件繫統映像301
18.4HiddenFsReader工具302
18.5小結303
第19章BIOS/UEFI取證：固件獲取和分析方法304
19.1取證技術的局限性304
19.2為什麼固件取證很重要305
19.3了解固件獲取306
19.4實現固件獲取的軟件方法307
19.5實現固件獲取的硬件方法313
19.6使用UEFITool分析固件映像318
19.7使用Chipsec分析固件映像323
19.8小結327

前言

在發表了一繫列關於Rootkit和Bootkit的文章和博客文章後，我們意識到這個主題並沒有得到應有的關注，因此產生了寫這本書的想法。我們覺得需要有一個宏觀的視角，想要一本能夠涵蓋所有這些內容的書—一本集成了高明的技巧、操作繫統架構視圖，由攻擊者和防御者使用的創新設計模式的書。我們尋找過這樣的書，但並沒有找到，於是我們就開始自己寫。
這花費了我們四年半的時間，比計劃的時間要長。如果你是搶先版的支持者之一，並且仍在閱讀這本書，我們會非常感激你的持續關注！
在此期間，我們觀察到了攻擊和防御的共同演進。特別值得注意的是，我們看到了微軟Windows操作繫統的防御能力演進，使得Rootkit和Bootkit設計的幾個主要分支陷入了死胡同。你可以在本書中找到更多與此相關的內容。
我們還看到了以BIOS和芯片組固件為攻擊目標的新型惡意軟件的出現，這已經超出了當前Windows安全防護軟件的能力範圍。我們將解釋這種共同演進是如何發展起來的，以及我們期望下一步它將把我們帶到哪裡。在發表了一繫列關於Rootkit和Bootkit的文章和博客文章後，我們意識到這個主題並沒有得到應有的關注，因此產生了寫這本書的想法。我們覺得需要有一個宏觀的視角，想要一本能夠涵蓋所有這些內容的書—一本集成了高明的技巧、操作繫統架構視圖，由攻擊者和防御者使用的創新設計模式的書。我們尋找過這樣的書，但並沒有找到，於是我們就開始自己寫。
這花費了我們四年半的時間，比計劃的時間要長。如果你是搶先版的支持者之一，並且仍在閱讀這本書，我們會非常感激你的持續關注！
在此期間，我們觀察到了攻擊和防御的共同演進。特別值得注意的是，我們看到了微軟Windows操作繫統的防御能力演進，使得Rootkit和Bootkit設計的幾個主要分支陷入了死胡同。你可以在本書中找到更多與此相關的內容。
我們還看到了以BIOS和芯片組固件為攻擊目標的新型惡意軟件的出現，這已經超出了當前Windows安全防護軟件的能力範圍。我們將解釋這種共同演進是如何發展起來的，以及我們期望下一步它將把我們帶到哪裡。
本書的另一個主題是針對操作繫統啟動引導過程的早期階段的逆向工程技術的開發。一般來說，在PC啟動引導過程的長鏈條中，一段代碼運行的時間越早，它就越不容易被觀察到。長期以來，這種可觀察性的缺乏一直與安全性在概念上有所混淆。然而，當我們深入探究這些突破底層操作繫統技術（如Secure Boot）的Bootkit和BIOS注入威脅的取證方法時，我們發現在這裡通過隱匿實現的安全性並不比計算機科學的其他領域更好。短時間後（在互聯網時間範圍內越來越短），相對於防御者而言，通過隱匿實現安全的方法對攻擊者更有利。這一觀點在其他有關這一主題的書籍中還沒有得到充分的闡述，所以我們試圖填補這一空白。
為什麼要讀這本書
我們為眾多信息安全研究人員撰寫文章，他們對高級可持續惡意軟件威脅如何繞過操作繫統級別的安全機制很感興趣。我們主要關注如何發現並逆向、有效分析這些高級威脅。書中的每一部分都反映了高級威脅發展演進的不同新階段，包括從它們一開始僅作為概念證明出現的階段，到威脅發動者展開投遞傳播的階段，後到它們在更隱蔽且有針對性攻擊中被利用的階段。
在寫這本書的時候，我們希望本書不僅僅面向計算機惡意軟件分析師，而是能使更廣泛的讀者獲益。更進一步，我們希望嵌入式繫統開發人員和雲安全專家同樣能夠發現這本書的作用，因為Rootkit及其所注入的威脅對這些生態繫統所產生的影響同樣非常突出。
這本書有什麼干貨
在部分中，我們將探索Rootkit，還將介紹Windows內核的內部機理—內核向來是Rootkit運行的場所。在第二部分中，我們將重點轉向操作繫統的引導過程和在Windows加強其內核模式後開發的Bootkit。我們將從攻擊者的角度剖析繫統引導過程的各個階段，特別關注新的UEFI固件方案及其漏洞。後，在第三部分中，我們將重點討論針對BIOS和固件的經典操作繫統Rootkit攻擊和現代Bootkit攻擊的取證工作。
部分Rootkit
此部分主要介紹全盛時期的經典操作繫統級Rootkit。這些歷史上的Rootkit案例提供了有價值的視角，讓我們了解攻擊者如何理解操作繫統的運行機制，並找到使用操作繫統自身結構，可靠地將攻擊負載注入繫統內核的方法。
第1章通過講述當時一個有趣的Rootkit的故事，並基於我們自己所遇到的各個Rootkit變種以及對這些威脅的分析，探索Rootkit是如何工作的。
第2章分析備受關注的Festi Rootkit，它使用了當時進的隱匿技術來發送垃圾郵件和發起DDoS攻擊。這些技術包含自帶的自定義內核級TCP/IP協議棧。
第3章帶我們深入操作繫統內核，重點介紹攻擊者用來爭奪內核底層控制權的技巧，例如攔截繫統事件和調用。
第二部分Bootkit
此部分將重點轉移到Bootkit的演進、刺激演進的條件，以及針對這些威脅的逆向工程技術。我們將看到Bootkit是如何開發的，以至於可以將其自身植入BIOS並利用UEFI固件漏洞進行攻擊。
第4章深入探討共同演化的作用，這使Bootkit得以存在並指導了它們的開發。我們來看一看批被發現的Bootkit，比如臭名昭著的Elk Cloner。
第5章介紹Windows繫統引導過程的內部原理，以及它們是如何隨時間變化的。我們將深入研究主引導記錄、分區表、配置數據和bootmgr模塊等細節。
第6章帶你了解Windows引導進程防護技術，如早期啟動反惡意軟件（ELAM）模塊、內核模式代碼簽名策略及其漏洞，以及較新的基於虛擬化的安全機制。
第7章剖析感染引導扇區的方法，並介紹這些方法如何隨著時間的推移而演變。我們將使用一些熟悉的Bootkit作為示例，比如TDL4、Gapz和Rovnix。
第8章介紹靜態分析Bootkit感染的方法和工具。我們將以TDL4 Bootkit為例介紹分析過程，並為讀者自己分析提供相關材料，包括要下載的磁盤映像。
第9章將重點轉移到動態分析方法上，包括使用Bochs仿真器和VMware的內置GDB調試器，還會介紹動態分析MBR和VBR Bootkit的步驟。
第10章回顧隱匿技術的發展，這些技術用於將Bootkit帶到引導過程的更低層級。我們將以Olmasco為例，

商品搜索

商品分类

【醫學】

【各大出版社】