【进阶】《恶意代码分析实战》

小甲鱼

/ k0 l/ W0 \' H# J" N+ S* m
书名：《恶意代码分析实战》
/ E" g0 N& ]3 v+ _8 f1 n作者：迈克尔·斯科尔斯基 (Michael Sikorski)，安德鲁·哈尼克 (Andrew Honig)
译者：诸葛建伟，姜辉，张光凯
出版社：电子工业出版社
出版年：2014年4月1日（第1版）
定价：128.00元
装帧：平装
ISBN：9787121224683

5 f' b6 ?8 q( L, i1 t购买链接：
! q$ z5 {5 C4 t2 o9 h# ]* \
$ ~9 d3 u. F/ E

---

, Z7 _# C* ]& ]* m! H亚马逊 -> 传送门
4 V& k1 O8 L- x( q% R
当当网 -> 传送门
7 S) I5 d$ h5 M2 E# m, T* B' I) V
京东 -> 传送门
5 `3 C3 `3 g& R/ T/ t% z+ G" `/ q  w
, R4 T8 w$ n" N! ~# C. R天猫 -> 传送门


* _8 F5 S" C( i$ U% m+ ?9 J) m; Q2 [内容简介：

---

《恶意代码分析实战》是业内公认的迄今为止最权威的一本恶意代码分析指南，《恶意代码分析实战》也是每一位恶意代码分析师都必须作为指导手册珍藏的案头必备。
- r/ R) t7 Z; J! s% n7 g& z
《恶意代码分析实战》既是一本教材，也是一本动手实践的指南。不仅教会你如何分析恶意代码（技术指导），而且配了大量的实验练习、案例、答案以及详细的分析过程，同时还包含了所有用作案例的恶意代码样本，提供了丰富、安全的学习环境。
9 r9 X+ w$ \3 N9 E% K  e& f* }
针对初学者：本书的技术内容、实验作业可以帮你渐入佳境；
针对中级读者：本书大量的分析实践会直接带你进入更高的级别，臻入化境。

; w1 Z( P1 `7 x" i  b& V' g: R+ R目录：

---

6 I2 O/ ^, M6 k9 @( |+ f第0章 恶意代码分析技术入门1
$ h2 J: V" a" V5 ^, Y& L! M# z
0.1 恶意代码分析目标1
* J/ X- s# l; R( _0.2 恶意代码分析技术2
0.2.1 静态分析基础技术2
0.2.2 动态分析基础技术2
0.2.3 静态分析高级技术2
0.2.4 动态分析高级技术2
0.3 恶意代码类型3
0.4 恶意代码分析通用规则4
) j) I1 O0 S: r) w% i2 Y. y* k6 [

5 k. q' P; f$ @8 b: f- K* Z第 1 篇 静态分析
, O% i% }% _" ]3 M' J1 |4 z
第1章 静态分析基础技术 6
! \$ k# d- d. J' u! C1 T( y8 G
1.1 反病毒引擎扫描：实用的第一步6
1.2 哈希值：恶意代码的指纹7
) e. ~; y. P9 c4 V1.3 查找字符串7
' D5 [) c! |. T1.4 加壳与混淆恶意代码9
9 ?7 r- y$ v1 t1.4.1 文件加壳10
6 {4 f6 u  N6 t  N, R( \; L. u1.4.2 使用PEiD 检测加壳10
1.5 PE 文件格式11
1.6 链接库与函数12
1.6.1 静态链接、运行时链接与动态链接12
1.6.2 使用Dependency Walker 工具探索动态链接函数13
$ z6 E7 h" ~6 q; s- q' h1.6.3 导入函数14
; v8 r) E" e. n( S1.6.4 导出函数15
1.7 静态分析技术实践15
1.7.1 PotentialKeylogger.exe：一个未加壳的可执行文件15
( U; C# h- s! @/ g! Z% F7 `9 \; T1.7.2 PackedProgram.exe：穷途末路18
7 E7 Y. h  A) C1.8 PE 文件头与分节18
8 Y+ k6 D( S7 H( w" q1.8.1 使用PEview 来分析PE 文件19
1.8.2 使用Resource Hacker 工具来查看资源节22
0 o3 q  H& U( f1.8.3 使用其他的PE 文件工具23
) t: U8 _- K2 A6 H# d2 e1.8.4 PE 文件头概述23
4 c2 m! Q/ U- l( ^" F/ V1.9 小结24
1.10 实验24

2 o6 {- m, A" x5 ~" y: M2 i. |第2章 在虚拟机中分析恶意代码 27
) `& O5 n5 K& L! E
2.1 虚拟机的结构27
2.2 创建恶意代码分析机28
+ Z5 h. l5 L3 g& V0 B) f2.2.1 配置VMware29
2.2.2 断开网络30
  N$ e6 p+ Y& ~2 J, d, Y9 E* h2.2.3 创建主机模式网络30
  ]! t$ o7 y& m, @5 [2.2.4 使用多个虚拟机30
2.3 使用恶意代码分析机31
2.3.1 让恶意代码连接互联网31
2.3.2 连接和断开外围设备32
2.3.3 拍摄快照32
, q3 v8 K3 ]! i7 H2.3.4 从虚拟机传输文件33
2.4 使用VMware 进行恶意代码分析的风险34
+ M: k; q) n4 Y9 G  a0 b8 v2.5 记录/重放：重复计算机运行轨迹34
2.6 小结35
" v- [9 P$ h  \1 S8 d; K
第3章 动态分析基础技术 36
9 j" D2 w1 w4 y% U
3.1 沙箱：简便但粗糙的方法36
$ P% I( S4 ~! q# x* F3.1.1 使用恶意代码沙箱36
3.1.2 沙箱的缺点37
) u, o6 `2 r* Z; g1 e3.2 运行恶意代码38
3.3 进程监视器39
3.3.1 进程监视器的显示40
3.3.2 进程监视器中的过滤41
3.4 使用进程浏览器（Process Explorer）来查看进程43
& G* v& o* c3 }) |3.4.1 进程浏览器的显示43
3.4.2 使用验证选项44
7 i- S& C) X3 c/ J3.4.3 比较字符串45
3.4.4 使用依赖遍历器（Dependency Walker）45
9 e# m' G. j! `8 f( V# Q; I3.4.5 分析恶意文档46
3.5 使用Regshot 来比较注册表快照46
3.6 模拟网络47
3.6.1 使用ApateDNS47
3 d' M2 |" x3 Z: _% L! N$ X3.6.2 使用Netcat 进行监视48
6 y+ V6 k* z8 n* ?2 ]& b. P. r$ w+ n3.7 使用Wireshark 进行数据包监听49
3.8 使用INetSim51
3.9 基础动态分析工具实践52
3.10 小结55
; O0 p/ H; p2 P3.11 实验56


第 2 篇 静态分析高级技术篇

8 E8 z; P& x+ c! h9 m3 ~第4章 x86 反汇编速成班 60
! n5 i! {( B+ \$ S  s" U
) P1 j  c. M, a: H+ R9 P* ?) o4.1 抽象层次60
- H$ [( U3 G& l% w- U( F( f4.2 逆向工程62
0 Y# b/ C. N, E/ l' N) @# A9 g& S/ I4.3 x86 体系结构62
( G( L' \2 `" Y6 f9 J$ @4.3.1 内存63
  I/ \! C- k$ @  \4.3.2 指令64
& w1 _& ^' A  n/ o4.3.3 操作码和字节序64
4.3.4 操作数65
& i1 b- D% A  X4.3.5 寄存器65
4.3.6 简单指令67
9 Q" O8 w' @1 c! f4.3.7 栈70
4.3.8 条件指令73
4 g$ x. _0 A  P' \8 X- ?) k4.3.9 分支指令73
4.3.10 重复指令74
) T- J3 t  B+ F$ B2 C% y4.3.11 C 语言主函数和偏移76
4.3.12 更多信息：Intel x86 Architecture Manual77
9 w/ ^* q. Q8 O. W9 e# ]4.4 小结78
/ f( J; R/ C( ~& N
0 x. _% \) z) U( \第5章 IDA Pro 79

0 B% i7 f$ b# S8 N& [5.1 加载一个可执行文件79
5.2 IDA Pro 接口81
5.2.1 反汇编窗口模式81
4 x9 Q9 Q( O. S" E5.2.2 对分析有用的窗口83
5.2.3 返回到默认视图83
5.2.4 导航IDA Pro 83
" ?; s, c% @- x- C  [, `7 G5.2.5 搜索85
5.3 使用交叉引用86
5 z" o5 v+ c& Z( K# R5.3.1 代码交叉引用87
- h: h9 E6 f2 L. U5.3.2 数据交叉引用88
, f* L5 g3 P& o0 Q5.4 分析函数88
& @* D. G* d/ F! \! B: N5.5 使用图形选项89
# a* b. @: v' F5 M) z1 E8 k5.6 增强反汇编91
9 r. j+ b9 T: s5.6.1 重命名位置91
5.6.2 注释92
8 Q7 w! l. [- u' L0 N! z5.6.3 格式化操作数92
5.6.4 使用命名的常量93
6 s1 _3 `8 w7 F* I2 K7 _1 E5.6.5 重新定义代码和数据94
5.7 用插件扩展IDA95
/ a1 R5 s: A5 v! L' i( L* o% ~5.7.1 使用IDC 脚本96
! J) ^4 T; O. w) \/ J. @5.7.2 使用IDAPython97
! e0 x8 y1 p, X! P/ _. S3 n5.7.3 使用商业插件97
. X+ u7 C" O8 t6 t& A" G) Q5.8 小结98
5.9 实验98
9 M+ f( q5 I: D+ Z% y# g
$ x9 S. Y4 D! E第6章 识别汇编中的C代码结构 100
, \3 y4 N7 D, v2 V) m
0 G5 F, A' A+ }' K# z6.1 全局与局部变量101
6.2 反汇编算术操作102
6.3 识别if 语句104
: q" \/ l# M! p# k5 e5 p6.3.1 用IDA Pro 图形化分析函数105
6.3.2 识别嵌套的if 语句106
6.4 识别循环107
/ G3 y& [, _( S. l6.4.1 找到for 循环107
% N. G, }- @5 |. _  D3 z2 _6.4.2 找到while 循环109
& e8 ]+ t/ x2 w! o4 b6 I6.5 理解函数调用约定110
6.5.1 cdecl110
6.5.2 stdcall 111
6.5.3 fastcall 111
6.5.4 压栈与移动 111
+ x7 `+ y$ F* t" P$ U. ]! P6.6 分析switch 语句112
6.6.1 If 样式112
: D6 o: u3 A3 b- R6.6.2 跳转表114
6.7 反汇编数组118
8 J6 Z6 M* R9 t+ {% ?9 Y6.8 识别结构体119
+ P, {) }7 r9 L) \6.9 分析链表遍历121
6.10 小结123
2 J0 r) w# J! ^6.11 实验123

第7章 分析恶意Windows程序 126
1 ~; w* v7 u) E/ g
0 u4 [' b+ s8 H6 [7 W2 L6 R- C7.1 Windows API126
5 e' M( W* l, t7.1.1 类型和匈牙利表达法126
7.1.2 句柄127
7.1.3 文件系统函数127
7.1.4 特殊文件128
7.2 Windows 注册表129
7 q# [, S: A. x0 `. P  j7.2.1 注册表根键130
7.2.2 Regedit131
7.2.3 自启动程序131
3 }; ]* B0 y; t1 \7.2.4 常用注册表函数131
7.2.5 练习分析注册表操作代码132
7.2.6 使用.reg 文件的注册表脚本133
  ^8 ^+ t' P" K# u% |8 _5 c7.3 网络API133
7.3.1 伯克利兼容套接字134
: U* x1 s) ~+ F- L, q7.3.2 网络的服务器和客户端134
7.3.3 WinINet API 135
7.4 跟踪恶意代码的运行136
8 g% G4 d9 o# y" t' p- }7.4.1 DLL136
7.4.2 进程137
7.4.3 线程139
7.4.4 使用互斥量的进程间协作142
+ X+ P! \- V. ~, Z7 _4 j7.4.5 服务143
1 z# \2 d6 ^- |7.4.6 组件对象模型145
& Q" _0 d  A5 y; o3 e8 E7.4.7 异常：当事情出错时147
7.5 内核与用户模式148
) {" u) V; F5 _7.6 原生API149
7.7 小结151
; I& z9 c9 J1 M& C7.8 实验151
/ N5 ]: q8 q" Z

, h) P- b! X5 w7 z1 g- F; x第 3 篇 动态分析高级技术篇

( U1 J* ?  k8 w5 k% V第8章 动态调试 154
0 H5 b3 D/ o7 `% S
8.1 源代码级与汇编级的调试器154
8.2 内核模式与用户模式调试155
" `' _, P6 A5 [6 \$ \! F6 R8.3 使用调试器155
8.3.1 单步调试155
8.3.2 单步跳过（Stepping-Over）和单步跳入（Stepping-Into）156
5 D' j# l. C, [3 x8.3.3 用断点暂停执行157
8.4 异常161
- A" ~+ [% |8 r3 P- m1 T8.4.1 首次和二次异常处理162
' O( ^: s. @  a. p# q, v0 P# F8.4.2 常见异常162
) h2 ^  P8 l6 m6 [9 J/ w# P7 w8.5 使用调试器修改可执行文件163
8.6 修改可执行程序的实践163
3 Z& g+ {  s2 W5 X9 N  Q+ W( x* c8.7 小结164

0 K" R6 f: n8 [! E& ?- z) y第9 章 OllyDbg 165

- v5 s* H( R1 Y$ ^9.1 加载恶意代码165
: r/ z  q2 r- u: G9.1.1 打开一个可执行文件165
# g9 {  S: N2 W3 n9.1.2 附加调试器到一个运行程序166
. P: Y, F$ K0 i# p; G7 v9.2 OllyDbg 的接口167
8 I( p9 n$ ?4 W) V9 n" ~9.3 内存映射168
9 r3 u* w; F! ^, R- _8 b- @; A9.3.1 基地址重定位169
% W- l! [# ^! ]2 r6 {' K9.4 查看线程和堆栈170
9.5 执行代码171
9.6 断点172
! o/ Z) N+ o% D' e9.6.1 软件断点173
4 Q9 o# [( m7 y4 X; ~: Z$ R9.6.2 条件断点174
8 ]& X$ y2 l7 ?; ]! u& q9.6.3 硬件断点175
9.6.4 内存断点175
9.7 加载DLL176
! t* |' h1 o  Z9 d4 _2 j# {0 X6 s9.8 跟踪177
9.8.1 标准回溯跟踪177
9.8.2 堆栈调用跟踪178
4 ]; k; R% X# a7 I7 {3 V9.8.3 运行跟踪178
9.8.4 跟踪Poison Ivy178
9.9 异常处理179
0 f. I1 Q2 P, S2 z, {9.10 修补180
9.11 分析shellcode181
9.12 协助功能182
- _) D6 l( B% |( ~0 X2 \, `* M9.13 插件182
9.13.1 OllyDump183
9.13.2 调试器隐藏插件183
9.13.3 命令行184
9.13.4 书签185
9.14 脚本调试185
) {) ^- P2 j4 N" n, @9.15 小结186
6 V: k( N2 q3 I0 E# B9.16 实验187

0 u0 S, n) Z1 O& z3 }第10章 使用WinDbg 调试内核 189

4 @  L6 d' O+ m6 H8 j$ N0 H10.1 驱动与内核代码189
& w% I' c+ t7 T9 x10.2 安装内核调试191
10.3 使用WinDbg193
; W8 X/ j& V# g% F5 N1 K10.3.1 从内存中读取194
. C( Q* J, C& Y; a10.3.2 使用算术操作符194
10.3.3 设置断点194
10.3.4 列举模块195
4 B- T0 J1 f9 s4 D% |( k10.4 微软符号表195
10.4.1 搜索符号195
10.4.2 查看结构信息196
10.4.3 配置Windows 符号表198
10.5 内核调试实践198
10.5.1 用户空间的代码198
10.5.2 内核模式的代码200
* o. s5 z4 z0 @4 E" l: I9 q2 e9 k. O10.5.3 查找驱动对象203
10.6 Rootkit204
$ |5 Z; M$ V3 C. {4 e10.6.1 Rootkit 分析实践205
10.6.2 中断208
: _1 f( H; r0 ?9 s# w+ @2 k10.7 加载驱动209
% O3 L# }/ ^6 ?10.8 Windows Vista、Windows 7 和x64 版本的内核问题209
" E3 K# g  _% S6 I, a, r6 c# ^10.9 小结210
10.10 实验210


" L; O6 v# ~* Z$ {第 4 篇 恶意代码功能篇
5 S/ n- q$ X4 L  x5 R1 r
1 ]. @# R$ s2 r. N, L, r) T! b第11章 恶意代码行为 214
+ ?8 X0 C& i5 ~  |) O2 J4 Z- I
11.1 下载器和启动器214
11.2 后门（backdoor）214
11.2.1 反向shell215
% f3 f$ {! R) k# f' c11.2.2 远程控制工具216
6 k" E7 @9 N4 l! k9 w; r11.2.3 僵尸网络216
& ~  _6 m: B1 q/ |% U11.2.4 远程控制工具与僵尸网络的比较217
. z6 n0 ^$ o* ]8 W: k" u11.3 登录凭证窃密器217
11.3.1 GINA 拦截217
2 O' M& b( H% |  D- f11.3.2 口令哈希转储218
11.3.3 击键记录221
11.4 存活机制223
9 r# F4 k1 Z' @4 ~* ^3 L# i11.4.1 Windows 注册表223
11.4.2 特洛伊木马化（Trojanized）系统二进制文件225
. D. Y% s: r. p& |0 i" T- C11.4.3 DLL 加载顺序劫持227
8 f; t8 d  [+ s+ Z" j; k11.5 提权228
9 N( P8 }( v$ j* R11.5.1 使用SeDebugPrivilege228
' _, ?" m/ W0 ^- n; k3 A' p11.6 隐藏它的踪迹——用户态的Rootkit229
11.6.1 IAT Hook 230
# ?. z5 G* n9 z9 {' X; M, n1 ~& A7 c11.6.2 Inline Hook 231
11.7 小结232
11.8 实验232

第12章 隐蔽的恶意代码启动 234

12.1 启动器（Launcher）234
12.2 进程注入234
; T+ S# V( I9 `) _12.2.1 DLL 注入235
12.2.2 直接注入237
, g8 X) O6 ]% h; c5 H12.3 进程替换238
2 ?* m% s7 P/ j12.4 钩子（Hook）注入240
12.4.1 本地和远程钩子（Hook）240
12.4.2 使用钩子的击键记录器241
12.4.3 使用SetWindowsHookEx 241
12.4.4 目标线程241
! h0 y/ v  S  F/ c, r0 P$ y12.5 Detours 242
12.6 APC 注入243
12.6.1 用户模式下APC 注入244
12.6.2 内核模式的APC 注入245
12.7 小结246
12.8 实验246

第13章 数据加密 248
4 i0 x2 ?( H! _; Q( e
13.1 分析加密算法的目的248
3 Q7 J& P- I; \, V3 }13.2 简单的加密算法248
7 [4 o$ y4 l6 `  f5 r13.2.1 凯撒密码249
7 Z1 U. \- G$ g) t8 _& H, D2 c13.2.2 XOR249
13.2.3 其他一些简单的加密策略254
13.2.4 Base64255
13.3 常见的加密算法258
; r9 Y/ h0 [8 O9 y5 d3 ]13.3.1 识别字符串和导入259
" D" Z" d! X  `5 R8 b* t3 U13.3.2 查找加密常量259
13.3.3 查找高熵值内容261
9 h( T; y- P3 C9 ]13.4 自定义加密262
13.4.1 识别自定义加密263
13.4.2 攻击者使用自定义加密的优势265
13.5 解密265
$ k3 s/ `7 J' Z13.5.1 自解密265
13.5.2 手动执行解密函数266
: G3 Y9 G) ]$ Z: ~( k13.5.3 使用通用的解密规范267
13.6 小结270
8 U6 z9 B: G4 Q6 o13.7 实验271
3 z  `( B3 T; U3 k6 T2 u
4 e" S6 l# x  A* Q2 L: _第14章 恶意代码的网络特征273

14.1 网络应对措施273
14.1.1 在原始环境中观察恶意代码273
' ^7 l% }& d: }2 [( v2 F; V14.1.2 恶意行为的痕迹274
14.1.3 OPSEC=操作安全性275
8 H# Y+ }, v% b) o+ b0 b' t14.2 安全地调查在线攻击者275
+ e2 L" v2 Q9 h14.2.1 间接性策略275
4 `' r+ S6 e2 a' E; F$ u14.2.2 获取IP 地址和域名信息276
14.3 基于内容的网络应对措施278
3 f, u: \  j1 d: y* R2 R  W1 W14.3.1 使用Snort 进行入侵检测278
4 p" s# o  Y' ^; `' E/ _' |14.3.2 深入观察279
14.4 结合动态和静态分析技术282
- |" _0 a; _9 H" G. |1 F: l. ?14.4.1 过度分析的危险283
14.4.2 在众目睽睽下隐藏283
4 a+ E* k3 P3 p14.4.3 理解周边代码286
0 ]5 L/ o9 f) f0 L14.4.4 寻找网络操作代码287
14.4.5 了解网络内容的来源288
5 X, z& I! K$ J, X7 ^14.4.6 硬编码数据 vs. 临时数据289
14.4.7 确定和利用编码步骤289
14.4.8 创建特征291
14.4.9 分析解析例程292
* A: c1 t1 k6 K0 i: x1 ]" t& A. A14.4.10 针对多个元素294
14.5 了解攻击者的意图295
( o; `, i' j3 l# y14.6 小结296
14.7 实验296
& r" ?. }; G( L$ x  G# H
; o1 X" O  w4 ~! Z3 L* P* N
8 k6 d  @$ |' ~; {6 v+ e第 5 篇 逆向工程
( }' U) f9 N/ c& \5 I* h  Y+ T
8 Y$ I5 j9 J; B) ^' J) X5 u第15章 对抗反汇编 300
9 C4 J  h8 @# k9 d4 v+ \1 C. i: ~6 g
15.1 何谓对抗反汇编技术300
" ^4 m) I9 b6 l  u1 H& X15.2 挫败反汇编算法301
' y7 o! s  h6 x! Q/ F15.2.1 线性反汇编302
, }% ]; a; W* ?( s+ h: f! i15.2.2 面向代码流的反汇编303
15.3 对抗反汇编技术306
15.3.1 相同目标的跳转指令306
15.3.2 固定条件的跳转指令307
0 u9 w8 O/ o$ E# @) ~0 b) A3 N% ]+ y) E15.3.3 无效的反汇编指令308
15.3.4 用IDA Pro 对指令进行NOP替换311
15.4 混淆控制流图312
15.4.1 函数指针问题312
15.4.2 在IDA Pro 中添加代码的交叉引用313
15.4.3 滥用返回指针313
15.4.4 滥用结构化异常处理315
5 f& f, q* m3 G! f& ]15.5 挫败栈帧分析317
" u1 d! R8 q8 _9 f3 ^% B! b15.6 小结320
% I% c- M, P: F5 k/ Z15.7 实验320

第16章 反调试技术322
0 Z  w# o0 I+ u% Y3 f* [! h3 \
16.1 探测Windows 调试器322
16.1.1 使用Windows API322
16.1.2 手动检测数据结构324
16.1.3 系统痕迹检测326
16.2 识别调试器的行为327
16.2.1 INT 扫描327
16.2.2 执行代码校验和检查328
16.2.3 时钟检测328
, }0 }, k8 W% `16.3 干扰调试器的功能330
9 h& a8 K  T2 e2 X+ d16.3.1 使用TLS回调330
16.3.2 使用异常332
/ ?" R# I, Q) h6 Y4 a16.3.3 插入中断333
/ d0 i0 M/ s+ ?, d16.4 调试器漏洞334
$ J( d- w* Q2 G5 u" p. }5 q16.4.1 PE 头漏洞334
16.4.2 OutputDebugString漏洞336
. O* ]5 O) k! H1 A1 V$ }3 D, }0 W16.5 小结336
0 d  |. N5 S" x7 A16.6 实验336

第17章 反虚拟机技术 338
8 |+ l8 N8 ]  k+ k
17.1 VMware 痕迹338
! r/ ^" a: T5 J) Z* H9 G" q- D17.1.1 绕过VMware 痕迹的探测340
17.1.2 探测内存痕迹342
# J7 F3 E) F* ?! @( U. q, u17.2 查找漏洞指令342
/ Y7 E2 O6 b1 U0 Z9 f- i7 |& q17.2.1 使用Red Pill 反虚拟机技术343
- l* z( ^. N5 {9 l0 l/ k17.2.2 使用No Pill 技术344
$ Z: O) `0 x. @$ W2 J, K0 r17.2.3 查询I/O 通信端口344
; r" |8 M  Y2 O" F17.2.4 使用str 指令345
% p1 g2 P3 i% y8 X/ r3 P4 q17.2.5 反虚拟机的x86 指令346
17.2.6 在IDA Pro 中高亮显示反虚拟机代码347
17.2.7 使用ScoopyNG347
17.3 调整设置348
17.4 虚拟机逃逸349
4 i$ ~& q6 ~; _# M17.5 小结349
8 D& C' k3 p) O7 c4 M' X17.6 实验349
. o9 E! f6 ?- T9 E4 m
( E  r( f0 R/ S, v$ _第18章 加壳与脱壳 352

18.1 剖析加壳352
4 |6 c; [  V8 q4 }18.1.1 脱壳存根353
) G% V. Y, T$ w( ?2 a5 ~18.1.2 加载可执行文件353
* u/ g  p4 h$ U4 i2 m18.1.3 解析导入函数表353
18.1.4 尾部跳转354
# r8 X; g! D4 S! n% O0 n" k; {0 z" K18.1.5 图示脱壳过程354
% U# C; g2 V; E18.2 识别加壳程序355
% v* k) _4 n+ [7 u7 A0 S+ u9 X18.2.1 加壳程序的标识355
18.2.2 熵计算356
6 M) n& E: ]6 a2 R8 d18.3 脱壳选项356
18.4 自动脱壳356
18.5 手动脱壳357
  n5 H: w0 T8 D3 w# I( T) N) k3 @18.5.1 使用导入重构器重构导入表358
; w  b5 G9 U2 g% b/ n18.5.2 查找OEP359
4 Q. V! Y& K* C9 O' @# `" Y18.5.3 手动修复导入表363
( X; ]$ C& P1 y+ d: T18.6 常见壳的技巧与窍门364
18.6.1 UPX 364
18.6.2 PECompact 365
18.6.3 ASPack365
18.6.4 Petite 365
18.6.5 WinUpack 366
18.6.6 Themida367
18.7 不完全脱壳情况下的分析368
1 D- h* c7 k/ ?, y% V) c9 o18.8 加壳DLL 368
5 O  i, }- a3 z* n$ U18.9 小结369
18.10 实验369
* W. K3 R1 t% A/ B- m1 p

" i3 U2 ]% m5 ~9 [) u6 F; p第 6 篇 高级专题
3 q$ }5 b0 j' }2 n- z6 k6 F6 ?
第19章 shellcode 分析 372

19.1 加载shellcode 进行分析372
19.2 位置无关代码373
" z# T8 q/ @6 T2 o: a, m19.3 识别执行位置373
19.3.1 使用call/pop 指令374
: u4 Z) E3 l* t19.3.2 使用fnstenv 指令376
) c3 k$ {( N$ q- C5 K( a19.4 手动符号解析377
19.4.1 在内存中找到kernel32.dll378
19.4.2 解析PE 文件导出数据380
! ~* U: j6 z4 i/ O3 G3 q% V8 A19.4.3 使用散列过的导出符号名382
19.5 一个完整的Hello World 例子383
+ M! ]; ~' d/ Y3 r: @! E19.6 shellcode 编码385
19.7 空指令雪橇387
19.8 找到shellcode387
2 I4 J8 _6 G) P& q" K% E19.9 小结388
19.10 实验389

第20章 C＋＋代码分析 391
5 s$ f$ L2 |/ X4 w/ k+ K' d
20.1 面向对象的编程语言391
20.1.1 this 指针392
( M- e% D. B" y! o$ N  h20.1.2 重载与修饰394
20.1.3 继承（Inheritance）和函数重写（Overriding）395
20.2 虚函数和非虚函数396
1 T8 T9 V+ Q' |) C9 a20.2.1 虚函数表的使用398
/ O( r2 c! k. ^% w& @! b20.2.2 识别虚函数表399
20.3 创建和销毁对象400
/ w$ g' {: f! C0 u' W9 v20.4 小结401
9 H0 m9 l. H$ W/ G% L0 W20.5 实验401

9 z- p  a/ y$ U第21章 64 位恶意代码 403

7 ^( r8 g/ J0 L# T" ~  V21.1 为什么需要64 位恶意代码403
21.2 x64 架构上的差别404
21.2.1 x64 调用约定和栈使用上的差别406
21.2.2 64 位异常处理408
* \* P3 L1 N+ Z6 S21.3 在Windows 64 位上的Windows 32 位408
21.4 恶意代码功能上的64位提示409
21.5 小结410
6 y" m+ q& j6 n21.6 实验410
, a  z6 x# k. B# `7 t8 U3 f
附录A 常见Windows 函数列表 412
3 ~; e+ T$ ~: T" @3 d
! t, S, u, f6 l1 }& V# m4 @8 K" t附录B 流行的恶意代码分析工具列表424

附录C 实验作业参考解答435

1 O5 |! h' |6 w' |( Z. y( F; x附录D 致青春，基础软件开发的中国故事 691
  j# P& _4 s2 k1 I5 n( ~
' y& \" [/ h5 i; L附录E Syser 操作入门 695

风吹雨起#泪花落

すごい

x51zqq

二楼,甲鱼兄要出恶意代码课程吗

鱼蛋代码

什么编程语音写的？

ivwdcwso

鱼蛋代码 发表于 2016-11-26 09:51
6 q. c- K; b7 I8 |. u: k什么编程语音写的？

1 k4 \5 L& c" @. U4 z$ Z/ m0 }什么时候出病毒查杀实战

忘仔于心

路过

木土豆

看看路过

今夜无法入眠

感觉很高大上，但语言学的一般般还有待提升勒

xiemianguiwang

好想学呀，可惜看书看不懂呀~！

上网冲浪做笔记

感觉很厉害

Saber丶Lance

感觉好厉害

myhome0000

good book

341818178

好书，详细

aa_qq110

看着就挺难的，应该先熟悉工具

心语心情

好

东非野马

要做一个很牛逼的程序员，网络安全方面有所建树，完了给国家做贡献

炸弹人

路过

万事通

新人报道

jsx715

好牛逼的书啊

语宇