第1篇 用户篇 3
第1章 开发环境 3
1.1环境安装 3
1.2工程项目设置 5
1.3关于Debug模式和Release模式的小提示 7
第2章 基础技术 10
2.1运行单一实例 10
2.2 DLL延迟加载 13
2.3资源释放 15
第3章 注入技术 22
3.1全局钩子注入 22
3.2远线程注入 27
3.3突破SESSION O隔离的远线程注入 34
3.4 APC注入 37
第4章 启动技术 42
4.1创建进程API 42
4.2突破SESSION O隔离创建用户进程 48
4.3内存直接加载运行 55
第5章 自启动技术 60
5.1注册表 60
5.2快速启动目录 66
5.3计划任务 69
5.4系统服务 75
第6章 提权技术 84
6.1进程访问令牌权限提升 84
6.2 Bypass UAC 89
第7章 隐藏技术 97
7.1进程伪装 97
7.2傀儡进程 102
7.3进程隐藏 106
7.4 DLL劫持 112
第8章 压缩技术 119
8.1数据压缩API 119
8.2 ZLIB压缩库 126
第9章 加密技术 133
9.1 Windows自带的加密库 133
9.2 Crypto＋＋密码库 152
第10章 传输技术 168
10.1 Socket通信 168
10.2 FTP通信 181
10.3 HTTP通信 190
10.4 HTTPS通信 202
第11章 功能技术 210
11.1进程遍历 210
11.2文件遍历 214
11.3桌面截屏 219
11.4按键记录 226
11.5远程CMD 232
11.6 U盘监控 235
11.7文件监控 241
11.8自删除 245
第2篇 内核篇 253
第12章 开发环境 253
12.1环境安装 253
12.2驱动程序的开发与调试 254
12.3驱动无源码调试 264
12.4 32位和64位驱动开发 268
第13章 文件管理技术 270
13.1文件管理之内核API 270
13.2文件管理之IRP 293
13.3文件管理之NTFS解析 303
第14章 注册表管理技术 317
14.1注册表管理之内核API 317
14.2注册表管理之HIVE文件解析 329
第15章 HOOK技术 337
15.1 SSDTHOOK 337
15.2过滤驱动 351
第16章 监控技术 357
16.1进程创建监控 357
16.2模块加载监控 363
16.3注册表监控 369
16.4对象监控 374
16.5 Minifilter文件监控 379
16.6 WFP网络监控 385
第17章 反监控技术 392
17.1反进程创建监控 392
17.2反线程创建监控 397
17.3反模块加载监控 403
17.4反注册表监控 407
17.5反对象监控 411
17.6反Minifilter文件监控 415
第18章 功能技术 421
18.1过 PatchGuard的驱动隐藏 421
18.2过PatchGuard的进程隐藏 426
18.3TDI网络通信 429
18.4强制结束进程 437
18.5文件保护 442
18.6文件强删 444
附录 函数一览表 447