第1章 计算机病毒基础 1
1.1 计算机病毒的起源 1
1.1.1 代码的自复制理论基础 1
1.1.2 磁芯大战 3
1.1.3 典型的计算机病毒 4
1.2 计算机病毒的定义 5
1.2.1 计算机病毒的结构 6
1.2.2 计算机病毒的分类 7
1.3 计算机病毒的基本原理 8
1.3.1 计算机病毒的形式化模型 10
1.3.2 计算机病毒的传播模型 18
1.3.3 系统安全模型 21
1.3.4 计算机病毒的防御 23
1.3.5 计算机病毒的特征 26
1.4 计算机病毒的命名 28
1.4.1 命名规则 28
1.4.2 计算机病毒的环境依赖性 29
第2章 Win32系统关键技术 30
2.1 Windows体系结构 30
2.1.1 Win32的含义 30
2.1.2 x86 CPU的工作模式 30
2.1.3 内核态和用户态 31
2.1.4 地址空间 33
2.2 内存管理机制 33
2.2.1 地址绑定 33
2.2.2 Windows的分页机制 34
2.2.3 i386的地址转换 35
2.2.4 内存保护 37
2.2.5 虚拟内存 39
2.2.6 内存映射文件 39
2.3 中断和异常 40
2.3.1 中断 40
2.3.2 Win32系统服务调用 41
2.3.3 异常 42
2.4 存储和文件系统 43
2.4.1 硬盘物理结构 43
2.4.2 硬盘分区结构 46
2.4.3 FAT文件系统 50
2.4.4 NTFS文件系统 61
2.5 典型的可执行文件格式 63
2.5.1 Windows可执行文件 63
2.5.2 .com文件 65
2.5.3 可移植文件格式 66
2.5.4 加载器 80
第3章 计算机病毒的感染机制 93
3.1 引导型病毒 93
3.1.1 系统引导过程 94
3.1.2 引导型病毒的感染原理 96
3.1.3 主引导扇区代码分析 97
3.1.4 引导型病毒的实现 100
3.2 文件型病毒 104
3.2.1 文件型病毒的感染机制 104
3.2.2 可移植文件的操作方法 109
3.2.3 空洞病毒的实现 117
3.2.4 追加新节的实现 120
3.2.5 病毒编写技术 122
3.3 脚本病毒 128
3.3.1 VBS病毒的原理 129
3.3.2 VBS病毒的自保技巧 133
3.3.3 VBS病毒生产机 134
3.4 代码进化技术 134
3.4.1 加密病毒 135
3.4.2 寡态病毒 136
3.4.3 多态病毒 137
3.4.4 变形病毒 139
3.4.5 病毒生产机 142
第4章 计算机病毒防御技术 143
4.1 扫描器技术 143
4.1.1 特征码扫描 143
4.1.2 快速扫描 146
4.1.3 骨架检测 146
4.1.4 精确识别技术 146
4.1.5 算法扫描 149
4.2 启发式检测 152
4.2.1 静态启发式检测 152
4.2.2 动态启发检测技术 153
4.2.3 神经网络启发式检测 159
4.3 行为检测器 160
4.4 完整性检测器 161
4.5 杀毒技术 161
4.5.1 内存杀毒 162
4.5.2 文件杀毒 167
4.5.3 通用杀毒 168
第5章 恶意代码技术的发展 171
5.1 恶意代码及其分类 171
5.1.1 恶意代码攻击机制 171
5.1.2 常见的恶意代码 171
5.2 特洛伊木马技术 173
5.2.1 木马的攻击机制 173
5.2.2 木马的传播技术 174
5.2.3 木马的隐藏技术 176
5.2.4 木马的通信技术 176
5.3 蠕虫技术 178
5.4 缓冲区溢出攻击 179
5.4.1 缓冲区溢出攻击的原理 179
5.4.2 缓冲区溢出攻击的实现 184
5.4.3 ShellCode的编写技巧 192
第6章 恶意代码的分析技术 194
6.1 代码分析环境 194
6.2 静态分析技术 195
6.2.1 x86的指令编码格式 195
6.2.2 x86反汇编 196
6.3 动态跟踪技术 199
6.3.1 Win32调试API 199
6.3.2 Win32调试机制 202
6.3.3 Win32的异常处理机制 203
第7章 代码的自保护技术 210
7.1 防反汇编技术 210
7.1.1 采用加密常量 210
7.1.2 采用复杂指令 210
7.1.3 在操作码中混合数据 211
7.1.4 使用压缩（加密）代码 211
7.1.5 显式链接外部函数 215
7.1.6 使用隐式的字符串 215
7.2 反调试技术 215
7.2.1 使用IsDebuggerPresent（）API 215
7.2.2 挂接x86系统调试中断 216
7.2.3 利用代码的校验和检测断点 216
7.2.4 在执行过程中检查栈状态 216
7.2.5 通过异常处理器执行代码 217
7.3 反启发式检测技术 217
7.3.1 利用加壳技术 217
7.3.2 追加多个病毒节 217
7.3.3 伪造文件头部 217
7.3.4 感染首节的空隙 218
7.3.5 扩大首节的空洞 218
7.3.6 压缩首节 218
7.3.7 使用随机入口点 218
7.3.8 隐藏代码节的属性 218
7.3.9 重新计算校验和 218
7.3.10 避免使用CALL-to-POP技巧 218
7.3.11 使用非常规指令 219
7.3.12 随机执行病毒代码 219
7.4 抗替罪羊与反转录病毒 219
7.4.1 抗替罪羊技术 219
7.4.2 反转录病毒技术 220
7.4.3 反转录病毒的典型行为 220
7.4.4 反转录病毒的防范措施 220
第8章 病毒实验设计 221
8.1 实验总目的和要求 221
8.2 引导型病毒的编写 221
8.3 空洞病毒的编写 223
8.4 追加病毒的编写 225
8.5 脚本病毒的编写 226
8.6 手工杀毒技巧 228
8.7 恶意代码的分析 229
参考文献 231