了得網計算機/網絡_有趣的二進制軟件安全與逆向分析

編輯推薦

打開黑箱，感受底層世界的樂趣

1. 如何防止軟件被別人分析？

2. 如何知道軟件在運行時都干了什麼？

3. 如何防止攻擊者利用漏洞奪取繫統權限？

內容簡介

《有趣的二進制：軟件安全與逆向分析》通過逆向工程，揭開人們熟知的軟件背後的機器語言的秘密，並教給讀者讀懂這些二進制代碼的方法。理解了這些方法，技術人員就能有效地Debug，防止軟件受到惡意攻擊和反編譯。本書涵蓋的技術包括：彙編與反彙編、調試與反調試、緩衝區溢出攻擊與底層安全、鉤子與注入、Metasploit 等安全工具。

作者簡介

愛甲健二（作者）

曾就職於NetAgent株式會社，負責逆向工程、惡意軟件分析、滲透測試等工作。2008年7月任董事。此後，在株式會社Fourteenforty技術研究所（現更名為株式會社FFRI）從事計算機安全技術研究和軟件開發工作。

曾參加Black Hat Japan 2008（日本）、HITCON 2011（中國臺灣）等會議，並發表重大研究成果。著有《彙編語言教程》（アセンブリ言語の教科書）、《TCP/IP教程》（TCP/IPの教科書）等。

周自恆（譯者）

技術圖書譯者，IT、編程及自然科學愛好者，初中時曾獲得信息學奧賽天津賽區一等獎，曾任某管理咨詢公司戰略技術總監。

譯有《圖解CIO工作指南（第4版）》《大數據的衝擊》《代碼的未來》《30天自制操作繫統》《圖解密碼技術》《家用遊戲機簡史》等。

第1章通過逆向工程學習如何讀懂二進制代碼
1.1先來實際體驗一下軟件分析吧
1.1.1通過Process Monitor的日志來確認程序的行為
1.1.2從注冊表訪問中能發現些什麼
1.1.3什麼是逆向工程
專欄：逆向工程技術大賽
1.2嘗試靜態分析
1.2.1靜態分析與動態分析
專欄：Stirling與BZ Editor的區別
1.2.2用二進制編輯器查看文件內容
1.2.3看不懂彙編語言也可以進行分析
1.2.4在沒有源代碼的情況下搞清楚程序的行為
1.2.5確認程序的源代碼
1.3嘗試動態分析第1章通過逆向工程學習如何讀懂二進制代碼

1.1先來實際體驗一下軟件分析吧

1.1.1通過Process Monitor的日志來確認程序的行為

1.1.2從注冊表訪問中能發現些什麼

1.1.3什麼是逆向工程

專欄：逆向工程技術大賽

1.2嘗試靜態分析

1.2.1靜態分析與動態分析

專欄：Stirling與BZ Editor的區別

1.2.2用二進制編輯器查看文件內容

1.2.3看不懂彙編語言也可以進行分析

1.2.4在沒有源代碼的情況下搞清楚程序的行為

1.2.5確認程序的源代碼

1.3嘗試動態分析

1.3.1設置Process Monitor的過濾規則

1.3.2調試器是干什麼用的

1.3.3用OllyDbg洞察程序的詳細邏輯

1.3.4對反彙編代碼進行分析

專欄：什麼是寄存器

1.3.5將分析結果與源代碼進行比較

專欄：選擇自己喜歡的調試器

1.4學習*基礎的彙編指令

1.4.1沒必要記住所有的彙編指令

1.4.2彙編語言是如何實現條件分支的

1.4.3參數存放在棧中

1.4.4從彙編代碼聯想到C語言源代碼

1.5通過彙編指令洞察程序行為

1.5.1給函數設置斷點

1.5.2反彙編並觀察重要邏輯

專欄：學習編寫彙編代碼

第2章在射擊遊戲中防止玩家作弊

2.1解讀內存轉儲

2.1.1射擊遊戲的規則

2.1.2修改4個字節就能得高分

2.1.3獲取內存轉儲

2.1.4從進程異常終止瞬間的狀態查找崩潰的原因

2.1.5有效運用實時調試

2.1.6通過轉儲文件尋找出錯原因

專欄：除了個人電腦，在其他計算機設備上運行的程序也可以進行

分析嗎

專欄：分析Java編寫的應用程序

2.2如何防止軟件被別人分析

2.2.1反調試技術

專欄：檢測調試器的各種方法

2.2.2通過代碼混淆來防止分析

專欄：代碼混淆的相關話題

2.2.3將可執行文件進行壓縮

2.2.4將壓縮過的可執行文件解壓縮：解包

2.2.5通過手動解包UPX來理解其工作原理

2.2.6用硬件斷點對ASPack進行解包

專欄：如何分析.NET編寫的應用程序

第3章利用軟件的漏洞進行攻擊

3.1利用緩衝區溢出來執行任意代碼

3.1.1引發緩衝區溢出的示例程序

3.1.2讓普通用戶用管理員權限運行程序

3.1.3權限是如何被奪取的

3.1.4棧是如何使用內存空間的

3.1.5攻擊者如何執行任意代碼

3.1.6用gdb 查看程序運行時的情況

3.1.7攻擊代碼示例

3.1.8生成可用作shellcode的機器語言代碼

3.1.9對0x00的改進

專欄：printf類函數的字符串格式化bug

3.2防御攻擊的技術

3.2.1地址隨機化：ASLR

3.2.2 除存放可執行代碼的內存空間以外，對其餘內存空間盡量

禁用執行權限：Exec-Shield

3.2.3 在編譯時插入檢測棧數據完整性的代碼：StackGuard

3.3繞開安全機制的技術

3.3.1使用libc中的函數來進行攻擊：Return-into-libc

3.3.2利用未隨機化的模塊內部的彙編代碼進行攻擊：ROP

專欄：計算機安全為什麼會變成貓鼠遊戲

第4章自由控制程序運行方式的編程技巧

4.1通過自制調試器來理解其原理

4.1.1親手做一個簡單的調試器，在實踐中學習

4.1.2調試器到底是怎樣工作的

4.1.3實現反彙編功能

4.1.4運行改良版調試器

4.2 在其他進程中運行任意代碼：代碼注入

4.2.1向其他進程注入代碼

4.2.2用SetWindowsHookEx劫持繫統消息

4.2.3將DLL路徑配置到注冊表的AppInit_DLLs項

4.2.4 通過CreateRemoteThread在其他進程中創建線程

4.2.5注入函數

4.3任意替換程序邏輯：API 鉤子

4.3.1API 鉤子的兩種類型

4.3.2用Detours實現一個簡單的API 鉤子

4.3.3修改消息框的標題欄

專欄：DLL注入和API鉤子是“黑客”技術的代表？

第5章使用工具探索更廣闊的世界

5.1 用Metasploit Framework驗證和調查漏洞

5.1.1什麼是Metasploit Framework

5.1.2安全漏洞的信息從何而來

5.1.3搭建用於測試漏洞的環境

5.1.4利用漏洞進行攻擊

專欄：深入探索shellcode

5.1.5一個ROP的實際例子

5.2用EMET觀察反ROP的機制

5.2.1什麼是EMET

5.2.2Anti-ROP的設計獲得了藍帽獎

5.2.3如何防止攻擊

5.2.4搞清楚加載器的邏輯

5.2.5DLL的程序邏輯

5.2.6CALL-RETN檢查

5.2.7如何防止誤判

5.2.8檢查棧的合法性

5.3用REMnux 分析惡意軟件

5.3.1什麼是REMnux

5.3.2更新特征數據庫

5.3.3掃描目錄

5.4 用ClamAV檢測惡意軟件和漏洞攻擊

5.4.1ClamAV的特征文件

5.4.2解壓縮.cvd文件

5.4.3被檢測到的文件詳細信息

5.4.4檢測所使用的打包器以及疑似惡意軟件的文件

5.5 用Zero Wine Tryouts分析惡意軟件

5.5.1REMnux與Zero Wine Tryouts的區別

5.5.2運行機制

5.5.3顯示用戶界面

5.5.4確認分析報告

專欄：嘗試開發自己的工具

5.6盡量減少人工分析：啟發式技術

5.6.1惡意軟件應對極限的到來：平均每天60000個

5.6.2啟發式技術革命

5.6.3用兩個惡意軟件進行測試

附錄

A.1安裝IDA

A.2安裝OllyDbg

A.3安裝WinDbg

A.4安裝Visual Studio 2010

A.5安裝Metasploit

A.6分析工具

Stirling / BZ Editor

Process Monitor

Process Explorer

Sysinternals工具

兔耳旋風

參考文獻

後記

媒體評論

在Web當道的時代，底層知識依然能夠在關鍵時刻發揮作用。不學習底層知識可能不會阻礙你成為一名稱職的程序員，但也許會阻礙你成為一名合格的程序員。 ——讀者評論

這並不是一本繫統講解底層知識的書，但它讓我真切地體會到了二進制的有趣，引導我饒有興致地去讀那些晦澀的專業書籍。 ——讀者評論

有時為了找到一些難度很高的bug，必須了解底層繫統，這本書教給我們一些實用的方法。我常常會想像自己在團隊遲遲找不到bug眼看發布就要延期的時候，突然跳出來說：“交給我吧，我用彙編語言來搞定！”是不是很帥氣（笑）？ ——讀者評論

我想把這本書推薦給所有的程序員。作為一個五年來都在埋頭寫代碼的碼農，我惶恐地發現我並不了解我編寫的程序在計算機中是如何運行的，直到我讀到了這本書。 ——讀者評論

逆向工程可以提升軟件的安全性，無論是對開發者還是維護者，都是需要的技能。跟著這本書動手實踐，你將完美入門。——讀者評論

商品搜索

商品分类

【醫學】

【各大出版社】