有趣的二进制

第1章　通过逆向工程学习如何读懂二进制代码1

1.1　先来实际体验一下软件分析吧3

1.1.1　通过Process Monitor的日志来确认程序的行为4

第1章　通过逆向工程学习如何读懂二进制代码1

1.1　先来实际体验一下软件分析吧3

1.1.1　通过Process Monitor的日志来确认程序的行为4

1.1.2　从注册表访问中能发现些什么6

1.1.3　什么是逆向工程9

专栏：逆向工程技术大赛10

1.2　尝试静态分析11

1.2.1　静态分析与动态分析11

专栏：Stirling与BZ Editor的区别12

1.2.2　用二进制编辑器查看文件内容13

1.2.3　看不懂汇编语言也可以进行分析14

1.2.4　在没有源代码的情况下搞清楚程序的行为16

1.2.5　确认程序的源代码18

1.3　尝试动态分析20

1.3.1　设置Process Monitor的过滤规则20

1.3.2　调试器是干什么用的23

1.3.3　用OllyDbg洞察程序的详细逻辑24

1.3.4　对反汇编代码进行分析26

专栏：什么是寄存器28

1.3.5　将分析结果与源代码进行比较29

专栏：选择自己喜欢的调试器30

1.4　学习最基础的汇编指令32

1.4.1　没必要记住所有的汇编指令32

1.4.2　汇编语言是如何实现条件分支的33

1.4.3　参数存放在栈中35

1.4.4　从汇编代码联想到C语言源代码37

1.5　通过汇编指令洞察程序行为40

1.5.1　给函数设置断点40

1.5.2　反汇编并观察重要逻辑42

专栏：学习编写汇编代码47

第2章　在射击游戏中防止玩家作弊51

2.1　解读内存转储53

2.1.1　射击游戏的规则53

2.1.2　修改4个字节就能得高分54

2.1.3　获取内存转储58

2.1.4　从进程异常终止瞬间的状态查找崩溃的原因63

2.1.5　有效运用实时调试66

2.1.6　通过转储文件寻找出错原因68

专栏：除了个人电脑，在其他计算机设备上运行的程序也可以进行

分析吗74

专栏：分析Java编写的应用程序74

2.2　如何防止软件被别人分析76

2.2.1　反调试技术76

专栏：检测调试器的各种方法77

2.2.2　通过代码混淆来防止分析79

专栏：代码混淆的相关话题80

2.2.3　将可执行文件进行压缩81

2.2.4　将压缩过的可执行文件解压缩：解包86

2.2.5　通过手动解包UPX来理解其工作原理87

2.2.6　用硬件断点对ASPack进行解包91

专栏：如何分析.NET编写的应用程序95

第3章　利用软件的漏洞进行攻击97

3.1　利用缓冲区溢出来执行任意代码99

3.1.1　引发缓冲区溢出的示例程序99

3.1.2　让普通用户用管理员权限运行程序100

3.1.3　权限是如何被夺取的102

3.1.4　栈是如何使用内存空间的104

3.1.5　攻击者如何执行任意代码107

3.1.6　用gdb 查看程序运行时的情况110

3.1.7　攻击代码示例113

3.1.8　生成可用作shellcode的机器语言代码116

3.1.9　对0x00的改进121

专栏：printf类函数的字符串格式化bug125

3.2　防御攻击的技术127

3.2.1　地址随机化：ASLR127

3.2.2　 除存放可执行代码的内存空间以外，对其余内存空间尽量

禁用执行权限：Exec-Shield130

3.2.3　 在编译时插入检测栈数据完整性的代码：StackGuard131

3.3　绕开安全机制的技术134

3.3.1　使用libc中的函数来进行攻击：Return-into-libc134

3.3.2　利用未随机化的模块内部的汇编代码进行攻击：ROP136

专栏：计算机安全为什么会变成猫鼠游戏137

第4章　自由控制程序运行方式的编程技巧139

4.1　通过自制调试器来理解其原理141

4.1.1　亲手做一个简单的调试器，在实践中学习141

4.1.2　调试器到底是怎样工作的141

4.1.3　实现反汇编功能147

4.1.4　运行改良版调试器153

4.2　 在其他进程中运行任意代码：代码注入155

4.2.1　向其他进程注入代码155

4.2.2　用SetWindowsHookEx劫持系统消息155

4.2.3　将DLL路径配置到注册表的AppInit_DLLs项162

4.2.4　 通过CreateRemoteThread在其他进程中创建线程165

4.2.5　注入函数170

4.3　任意替换程序逻辑：API 钩子174

4.3.1　API 钩子的两种类型174

4.3.2　用Detours实现一个简单的API 钩子174

4.3.3　修改消息框的标题栏177

专栏：DLL注入和API钩子是“黑客”技术的代表？178

第5章　使用工具探索更广阔的世界179

5.1　 用Metasploit Framework验证和调查漏洞181

5.1.1　什么是Metasploit Framework181

5.1.2　安全漏洞的信息从何而来181

5.1.3　搭建用于测试漏洞的环境182

5.1.4　利用漏洞进行攻击183

专栏：深入探索shellcode184

5.1.5　一个ROP的实际例子188

5.2　用EMET观察反ROP的机制192

5.2.1　什么是EMET192

5.2.2　Anti-ROP的设计获得了蓝帽奖192

5.2.3　如何防止攻击193

5.2.4　搞清楚加载器的逻辑194

5.2.5　DLL的程序逻辑196

5.2.6　CALL-RETN检查197

5.2.7　如何防止误判200

5.2.8　检查栈的合法性201

5.3　用REMnux 分析恶意软件205

5.3.1　什么是REMnux205

5.3.2　更新特征数据库206

5.3.3　扫描目录206

5.4　 用ClamAV检测恶意软件和漏洞攻击208

5.4.1　ClamAV的特征文件208

5.4.2　解压缩.cvd文件209

5.4.3　被检测到的文件详细信息210

5.4.4　检测所使用的打包器以及疑似恶意软件的文件211

5.5　 用Zero Wine Tryouts分析恶意软件212

5.5.1　REMnux与Zero Wine Tryouts的区别212

5.5.2　运行机制212

5.5.3　显示用户界面213

5.5.4　确认分析报告214

专栏：尝试开发自己的工具217

5.6　尽量减少人工分析：启发式技术218

5.6.1　恶意软件应对极限的到来：平均每天60000个218

5.6.2　启发式技术革命218

5.6.3　用两个恶意软件进行测试220

附录223

A.1　安装IDA224

A.2　安装OllyDbg 229

A.3　安装WinDbg230

A.4　安装Visual Studio 2010235

A.5　安装Metasploit240

A.6　分析工具248

Stirling / BZ Editor248

Process Monitor249

Process Explorer250

Sysinternals工具250

兔耳旋风251

参考文献252

后记254

...

(查看全部试读)