●序言
前言
致謝
關於作者
關於技術審校
第一部分Rootkit
第1章Rootkit原理：TDL3案例研究
1.1TDL3在真實環境中的傳播歷史
1.2感染例程
1.3控制數據流
1.4隱藏的文件繫統
1.5小結：TDL3也有“天敵”
第2章FestiRootkit：優選的垃圾郵件和DDoS僵尸網絡
2.1Festi僵尸網絡的案例
2.2剖析Rootkit驅動程序
2.3Festi網絡通信協議
2.4繞過安全和取證軟件
2.5C&C：故障的域名生成算法
2.6惡意的功能
2.7小結
第3章觀察Rootkit感染
3.1攔截的方法
3.2恢復繫統內核
3.3偉大的Rootkit軍備競賽：一個懷舊的筆記
3.4小結
第二部分Bootkit
第4章Bootkit的演變
4.1第一個Bootkit惡意程序
4.2Bootkit病毒的演變
4.3新一代Bootkit惡意軟件
4.4小結
第5章操作繫統啟動過程要點
5.1Windows引導過程的高級概述
5.2傳統引導過程
5.3Windows繫統的引導過程
5.4小結
第6章引導過程安全性
6.1ELAM模塊
6.2微軟內核模式代碼簽名策略
6.3Secure：Boot技術
6.4Windows10中基於虛擬化的安全
6.5小結
第7章Bootkn感染技術
7.1MBR感染技術
7.2VBR／IPL感染技術
7.3小結
第8章使用lDAPro對Bootkit進行靜態分析
8.1分析BootkitMBR
8.2VBR業務分析技術
8.3高級IDAPro的使用：編寫自定義MBR加載器
8.4小結
8.5練習
第9章Bootkit動態分析：仿真和虛擬化
9.1使用Bochs進行仿真
9.2使用WlMlwareWorkstation進行虛擬化
9.3微軟Hyper-V和OracleVirtualBox
9.4小結
9.5練習
第10章MBR和VBR感染技術的演變：Olmasco
10.1Dropper
10.2Bootkit的功能
10.3Rootkit的功能
10.4小結
第11章lPLBootkit：Rovnix和Carlberp
11.1Rovnix的演化
11.2Bootkit架構
11.3感染繫統
11.4感染後的引導過程和IPL
11.5內核模式驅動程序的功能
11.6隱藏的文件繫統
11.7隱藏的通信信道
11.8案例研究：與carberp的聯繫
11.9小結
第12章Gapz：高級VBR感染
12.1CapzDropper
12.2使用GapzBootkit感染繫統
12.3GapzRootkit的功能
12.4隱藏存儲
12.5小結
第13章MBR勒索軟件的興起
13.1現代勒索軟件簡史
13.2勒索軟件與Bootkit功能
13.3勒索軟件的運作方式
13.4分析Petya勒索軟件
13.5分析Satana勒索軟件
13.6小結
第14章UEFI與MBR／VBR引導過程
14.1統一可擴展固件接口
14.2傳統BIOS和UEFI引導過程之間的差異
14.3GUID分區表的細節
14.4UEFI固件的工作原理
14.5小結
第15章當代UEFIBootkit
15.1傳統BIOS威脅的概述
15.2所有硬件都有固件
15.3感染BIOS的方法
15.4理解Rootkit注入
15.5真實環境中的LIEFIRootkit
15.6小結
第16章UEFl固件漏洞
16.1固件易受攻擊的原因
16.2對LIEFI固件漏洞進行分類
16.3uEFI固件保護的歷史
16.4IntelBootGuard
16.5SMM模塊中的漏洞
16.6s3引導腳本中的漏洞
16.7Intel管理引擎中的漏洞
16.8小結
第三部分防護和取證技術
第17章UEFISecureBoot的工作方式
17.1什麼是SecureBoot
17.2LIEFISecureBoot實現細節
17.3攻擊SecureBoot
17.4通過驗證和測量引導保護SecureBoot
17.5IntelBootGuard
17.6ARM可信引導板
17.7驗證引導與固件Rootkit
17.8小結
第18章分析隱藏文件繫統的方法
18.1隱藏文件繫統概述
18.2從隱藏的文件繫統中檢索Bootldt數據
18.3解析隱藏的文件繫統映像
18.4HiddenFsReader工具
18.5小結
第19章BIOS／UEFI取證：固件獲取和分析方法
19.1取證技術的局限性
19.2為什麼固件取證很重要
19.3了解固件獲取
19.4實現同件獲取的軟件方法
19.5實現固件獲取的硬件方法
19.6使用UEFITool分析固件映像
19.7使用Chinese分析固件映像
19.8小結

本書將教你了解和對抗深藏在機器引導過程或UEFI固件中的復雜而高級的威脅。借助來自三位安全專家的大量案例研究和專業研究，你將了解惡意軟件的開發過程，從TDL3這樣的Rootkit到現在的UEFI植入，並考察它們如何感染繫統，如何通過重啟持續存在並規避安全軟件的檢查。當你檢查和剖析真正的惡意軟件時，你會學到：如何啟動Windows繫統（包括32位、64位和UEFI模式），以及在哪裡找到漏洞。詳細的啟動過程的安全機制（如SecureBoot),包括VSM(VirtualSecureMode)和DeviceGuard概述。用於分析真實惡意軟件(包括Rovnix/Carberp、Gapz、TDL4等Bootkit軟件,以及臭名昭著的TDL3和Festi等Rootkit軟件）的逆向工程和取證技術。如何使用仿真和Bochs、IDAPro等工具執行靜態和動態分析。如何更好地理解針對BIOS和UEFI固件等

(美)亞歷克斯·馬特羅索夫,(美)尤金·羅季奧諾夫,(美)謝爾蓋·布拉圖斯 著 安和 譯