译者序 1
作者介绍 1
前言 1
致谢 1
第一部分 攻击者的策略 1
第1章 引言：自然的游戏 1
1.1 自我复制结构的早期模型 1
1.1.1 约翰·冯·诺伊曼：自我复制自动机理论 2
1.1.2 Fredkin：重建结构 3
1.1.3 Conway：生命游戏 4
1.1.4 磁芯大战：程序对战 6
1.2 计算机病毒的起源 10
1.3 自动复制代码：计算机病毒的原理和定义 11
参考文献 13
第2章 恶意代码分析的魅力 14
2.1 计算机病毒研究的通用模式 16
2.2 反病毒防护技术的发展 16
2.3 恶意程序的相关术语 17
2.3.1 病毒 17
2.3.2 蠕虫 17
2.3.3 逻辑炸弹 18
2.3.4 特洛伊木马 19
2.3.5 细菌 20
2.3.6 漏洞利用 20
2.3.7 下载器 20
2.3.8 拨号器 20
2.3.9 投放器 20
2.3.10 注入程序 21
2.3.11 auto-rooter 21
2.3.12 工具包（病毒生成器） 21
2.3.13 垃圾邮件发送程序 21
2.3.14 洪泛攻击 22
2.3.15 击键记录器 22
2.3.16 rootkit 22
2.4 其他类别 23
2.4.1 玩笑程序 23
2.4.2 恶作剧：连锁电子邮件 23
2.4.3 其他有害程序：广告软件和间谍软件 24
2.5 计算机恶意软件的命名规则 24
2.5.1 <family_name> 25
2.5.2 <malware_type>:// 25
2.5.3 <platform>/ 25
2.5.4 <group_name> 26
2.5.5 <infective_length> 26
2.5.6 <variant> 26
2.5.7 [<devolution>] 26
2.5.8 <modifiers> 26
2.5.9 :<locale_specifier> 26
2.5.10 #<packer> 26
2.5.11 @m或＠mm 26
2.5.12 !<vendor-specific_comment> 26
2.6 公认的平台名称清单 27
参考文献 29
第3章 恶意代码环境 31
3.1 计算机体系结构依赖性 32
3.2 CPU依赖性 33
3.3 操作系统依赖性 34
3.4 操作系统版本依赖性 34
3.5 文件系统依赖性 35
3.5.1 簇病毒 35
3.5.2 NTFS流病毒 36
3.5.3 NTFS压缩病毒 37
3.5.4 ISO镜像文件感染 37
3.6 文件格式依赖性 37
3.6.1 DOS上的COM病毒 37
3.6.2 DOS上的EXE病毒 37
3.6.3 16位Windows和OS/2上的NE病毒 38
3.6.4 OS/2上的LX病毒 38
3.6.5 32位Windows上的PE病毒 38
3.6.6 UNIX上的ELF病毒 41
3.6.7 设备驱动程序病毒 41
3.6.8 目标代码和库文件病毒 42
3.7 解释环境依赖性 42
3.7.1 微软产品中的宏病毒 42
3.7.2 IBM系统中的REXX病毒 50
3.7.3 DEC/VMS上的DCL病毒 51
3.7.4 UNIX上的shell脚本（csh、ksh和bash） 51
3.7.5 Windows系统中的VBScript病毒 52
3.7.6 批处理病毒 52
3.7.7 mIRC、PIRCH脚本中的即时消息病毒 53
3.7.8 SuperLogo病毒 53
3.7.9 JScript病毒 55
3.7.10 Perl病毒 55
3.7.11 用嵌入HTML邮件的JellyScript编写的WebTV蠕虫 55
3.7.12 Python病毒 56
3.7.13 VIM病毒 56
3.7.14 EMACS病毒 56
3.7.15 TCL病毒 56
3.7.16 PHP病毒 56
3.7.17 MapInfo病毒 57
3.7.18 SAP上的ABAP病毒 57
3.7.19 Windows帮助文件病毒——当你按下F1 57
3.7.20 Adobe PDF中的JScript威胁 58
3.7.21 AppleScript的依赖性 58
3.7.22 ANSI的依存关系 58
3.7.23 Macromedia Flash动作脚本（Action-Script）威胁 59
3.7.24 HyperTalk脚本威胁 59
3.7.25 AutoLisp脚本病毒 60
3.7.26 注册表依赖性 60
3.7.27 PIF和LNK的依赖性 61
3.7.28 Lotus Word专业版中的宏病毒 61
3.7.29 AmiPro的文档病毒 61
3.7.30 Corel脚本病毒 61
3.7.31 Lotus 1-2-3宏的依赖性 62
3.7.32 Windows安装脚本的依赖性 62
3.7.33 AUTORUN.INF和Windows INI File依存性 62
3.7.34 HTML依赖性 63
3.8 系统漏洞依赖性 63
3.9 日期和时间依赖性 63
3.10 JIT依赖性：Microsoft.NET病毒 64
3.11 档案文件格式依赖性 65
3.12 基于扩展名的文件格式依赖性 65
3.13 网络协议依赖性 66
3.14 源代码依赖关系 66
3.15 在Mac和Palm平台上的资源依赖性 68
3.16 宿主大小依赖性 68
3.17 调试器依赖性 69
3.18 编译器和连接器依赖性 70
3.19 设备翻译层依赖性 71
3.20 嵌入式对象插入依赖性 73
3.21 自包含环境的依赖性 73
3.22 复合病毒 74
3.23 结论 75
参考文献 76
第4章 感染策略的分类 79
4.1 引导区病毒 79
4.1.1 主引导记录感染技术 80
4.1.2 DOS引导记录感染技术 82
4.1.3 随Windows 95发作的引导区病毒 83
4.1.4 在网络环境下对引导映像的可能攻击 84
4.2 文件感染技术 84
4.2.1 重写病毒 84
4.2.2 随机重写病毒 85
4.2.3 追加病毒 85
4.2.4 前置病毒 86
4.2.5 典型的寄生病毒 87
4.2.6 蛀穴病毒 88
4.2.7 分割型蛀穴病毒 88
4.2.8 压缩型病毒 89
4.2.9 变形虫感染技术 90
4.2.10 嵌入式解密程序技术 90
4.2.11 嵌入式解密程序和病毒体技术 91
4.2.12 迷惑性欺骗跳转技术 92
4.2.13 入口点隐蔽病毒 92
4.2.14 未来可能的感染技术：代码建造器 99
4.3 深入分析Win32病毒 99
4.3.1 Win32 API及其支持平台 100
4.3.2 32位Windows感染技术 102
4.3.3 Win32和Win64病毒：是针对Microsoft Windows设计的吗 116
4.4 结论 118
参考文献 118
第5章 内存驻留技术 120
5.1 直接感染型病毒 120
5.2 内存驻留病毒 120
5.2.1 中断处理和钩挂 121
5.2.2 钩挂INT 13h中断例程（引导区病毒） 123
5.2.3 钩挂INT 21h中断例程（文件型病毒） 124
5.2.4 DOS环境常用的内存加载技术 127
5.2.5 隐藏型病毒 129
5.2.6 磁盘高速缓存和系统缓存感染 135
5.3 临时内存驻留病毒 136
5.4 交换型病毒 137
5.5 进程病毒（用户模式） 137
5.6 内核模式中的病毒（Windows 9x/Me） 137
5.7 内核模式中的病毒（Windows NT/2000/XP） 138
5.8 通过网络传播的内存注入病毒 139
参考文献 140
第6章 基本的自保护策略 141
6.1 隧道病毒 141
6.1.1 通过扫描内存查找原中断处理例程 141
6.1.2 跟踪调试接口 141
6.1.3 基于代码仿真的隧道技术 142
6.1.4 使用I/O端口直接访问磁盘 142
6.1.5 使用未公开的函数 142
6.2 装甲病毒 142
6.2.1 反反汇编 143
6.2.2 数据加密 143
6.2.3 使用代码迷惑对抗分析 144
6.2.4 基于操作码混合的代码迷惑 145
6.2.5 使用校验和 146
6.2.6 基于压缩的隐蔽代码 146
6.2.7 反跟踪 147
6.2.8 抗启发式检测技术 152
6.2.9 抗仿真技术 158
6.2.10 抗替罪羊病毒 161
6.3 攻击性的反制病毒 162
参考文献 163
第7章 高级代码演化技术和病毒生成工具 165
7.1 引言 165
7.2 代码演化 165
7.3 加密病毒 166
7.4 寡形病毒 169
7.5 多态病毒 171
7.5.1 1260病毒 171
7.5.2 Dark Avenger病毒中的突变引擎（MtE） 172
7.5.3 32位多态病毒 174
7.6 变形病毒 177
7.6.1 什么是变形病毒 177
7.6.2 简单的变形病毒 178
7.6.3 更加复杂的变形病毒和置换技术 179
7.6.4 置换其他程序：病毒机的终极版 181
7.6.5 高级变形病毒：Zmist 182
7.6.6 {W32,Linux}/Simile：跨平台的变形引擎 185
7.7 病毒机 190
7.7.1 VCS 190
7.7.2 GenVir 190
7.7.3 VCL 190
7.7.4 PS-MPC 191
7.7.5 NGVCK 191
7.7.6 其他病毒机和变异工具 192
7.7.7 如何测试病毒机 193
参考文献 193
第8章 基于病毒载荷的分类方法 195
8.1 没有载荷 195
8.2 偶然破坏型载荷 196
8.3 非破坏型载荷 196
8.4 低破坏型载荷 197
8.5 强破坏型载荷 198
8.5.1 数据重写型病毒 198
8.5.2 数据欺骗 199
8.5.3 加密数据的病毒：好坏难辨 200
8.5.4 破坏硬件 201
8.6 DoS攻击 201
8.7 窃取数据：用病毒牟利 203
8.7.1 网络钓鱼攻击 203
8.7.2 后门 204
8.8 结论 205
参考文献 205
第9章 计算机蠕虫的策略 207
9.1 引言 207
9.2 计算机蠕虫的通用结构 208
9.2.1 目标定位 208
9.2.2 感染传播 208
9.2.3 远程控制和更新接口 208
9.2.4 生命周期管理 209
9.2.5 蠕虫载荷 209
9.2.6 自跟踪 210
9.3 目标定位 210
9.3.1 收集电子邮件地址 210
9.3.2 网络共享枚举攻击 214
9.3.3 网络扫描和目标指纹分析 215
9.4 感染传播 218
9.4.1 攻击安装了后门的系统 218
9.4.2 点对点网络攻击 219
9.4.3 即时消息攻击 220
9.4.4 电子邮件蠕虫攻击和欺骗技术 220
9.4.5 插入电子邮件附件 220
9.4.6 SMTP代理攻击 221
9.4.7 SMTP攻击 221
9.4.8 使用MX查询进行SMTP传播 223
9.4.9 NNTP攻击 223
9.5 常见的蠕虫代码传送和执行技术 224
9.5.1 基于可执行代码的攻击 224
9.5.2 连接到Web站点或者Web代理 224
9.5.3 基于HTML的邮件 225
9.5.4 基于远程登录的攻击 225
9.5.5 代码注入攻击 225
9.5.6 基于shellcode的攻击 226
9.6 计算机蠕虫的更新策略 228
9.6.1 在Web和新闻组上的认证更新 229
9.6.2 基于后门的更新 232
9.7 用信令进行远程控制 232
9.8 有意无意的交互 234
9.8.1 合作 234
9.8.2 竞争 236
9.8.3 未来：简单蠕虫通信协议 237
9.9 无线移动蠕虫 237
参考文献 239
第10章 漏洞利用、漏洞和缓冲区溢出攻击 241
10.1 引言 241
10.1.1 混合攻击的定义 241
10.1.2 威胁 241
10.2 背景 242
10.3 漏洞的类型 243
10.3.1 缓冲区溢出 243
10.3.2 第一代缓冲区溢出攻击 243
10.3.3 第二代攻击 245
10.3.4 第三代攻击 250
10.4 攻击实例 261
10.4.1 1988年的Morris蠕虫（利用堆栈溢出执行shellcode） 261
10.4.2 1998年的Linux/ADM（“抄袭”Morris蠕虫） 263
10.4.3 2001年爆发的CodeRed（代码注入攻击） 263
10.4.4 2002年的Linux/Slapper蠕虫（堆溢出实例） 266
10.4.5 2003年1月的W32/Slammer蠕虫（Mini蠕虫） 270
10.4.6 2003年8月Blaster蠕虫（Win32上基于shellcode的攻击） 272
10.4.7 计算机病毒中缓冲区溢出的一般用法 274
10.4.8 W32/Badtrans.B@mm描述 274
10.4.9 W32/Nimda.A@mm所用的漏洞攻击方法 274
10.4.10 W32/Bolzano描述 275
10.4.11 VBS/Bubbleboy描述 276
10.4.12 W32/Blebla描述 277
10.5 小结 277
参考文献 278
第二部分 防御者的策略 281
第11章 病毒防御技术 281
11.1 第一代扫描器 282
11.1.1 字符串扫描 282
11.1.2 通配符 284
11.1.3 不匹配字节数 285
11.1.4 通用检测法 285
11.1.5 散列 285
11.1.6 书签 286
11.1.7 首尾扫描 287
11.1.8 入口点和固定点扫描 287
11.1.9 超快磁盘访问 288
11.2 第二代扫描器 288
11.2.1 智能扫描 288
11.2.2 骨架扫描法 289
11.2.3 近似精确识别法 289
11.2.4 精确识别法 290
11.3 算法扫描方法 291
11.3.1 过滤法 292
11.3.2 静态解密程序检测法 293
11.3.3 X光检测法 294
11.4 代码仿真 298
11.4.1 用代码仿真来检测加密和多态病毒 301
11.4.2 动态解密程序检测法 303
11.5 变形病毒检测实例 304
11.5.1 几何检测法 305
11.5.2 反汇编技术 305
11.5.3 采用仿真器进行跟踪 306
11.6 32位Windows病毒的启发式分析 308
11.6.1 代码从最后一节开始执行 309
11.6.2 节头部可疑的属性 309
11.6.3 PE可选头部有效尺寸的值不正确 309
11.6.4 节之间的“间隙” 309
11.6.5 可疑的代码重定向 309
11.6.6 可疑的代码节名称 310
11.6.7 可能的头部感染 310
11.6.8 来自KERNEL32.DLL的基于序号的可疑导入表项 310
11.6.9 导入地址表被修改 310
11.6.10 多个PE头部 310
11.6.11 多个Windows程序头部和可疑的KERNEL32.DLL导入表项 310
11.6.12 可疑的重定位信息 310
11.6.13 内核查询 311
11.6.14 内核的完整性 311
11.6.15 把节装入到VMM的地址空间 311
11.6.16 可选头部的SizeOfCode域取值不正确 311
11.6.17 含有多个可疑标志的例子 311
11.7 基于神经网络的启发式分析 312
11.8 常规及通用清除法 314
11.8.1 标准清除法 314
11.8.2 通用解密程序 315
11.8.3 通用清除程序如何工作 316
11.8.4 清除程序如何确定一个文件是否染毒 316
11.8.5 宿主文件原来的结尾在哪里 316
11.8.6 能用这种方法清除的病毒有多少类 316
11.8.7 通用修复法中的启发性标记实例 317
11.8.8 通用清除过程实例 318
11.9 接种 319
11.10 访问控制系统 319
11.11 完整性检查 320
11.11.1 虚警 321
11.11.2 干净的初始状态 321
11.11.3 速度 322
11.11.4 特殊对象 322
11.11.5 必须有对象发生改变 322
11.11.6 可能的解决方案 322
11.12 行为阻断 323
11.13 沙箱法 324
11.14 结论 325
参考文献 325
第12章 内存扫描与杀毒 328
12.1 引言 329
12.2 Windows NT虚拟内存系统 330
12.3 虚拟地址空间 331
12.4 用户模式的内存扫描 334
12.4.1 NtQuerySystemlnformation（）的秘密 334
12.4.2 公共进程及特殊的系统权限 335
12.4.3 Win32子系统中的病毒 336
12.4.4 分配私有页面的Win32病毒 337
12.4.5 原生Windows NT服务病毒 338
12.4.6 使用隐藏窗口过程的Win32病毒 339
12.4.7 被执行映像自身包含的Win32病毒 339
12.5 内存扫描和页面调度 341
12.6 内存杀毒 342
12.6.1 终止包含病毒代码的特定进程 342
12.6.2 检测和终止病毒线程 343
12.6.3 修复活跃页面中的病毒代码 345
12.6.4 如何为已装入内存的DLL及运行中的应用程序杀毒 346
12.7 内核模式的内存扫描 346
12.7.1 扫描进程的用户地址空间 346
12.7.2 确定NT服务API的入口点 347
12.7.3 用于内核模式内存扫描的重要NT函数 348
12.7.4 进程上下文 348
12.7.5 扫描地址空间上部的2GB 349
12.7.6 如何使一个过滤驱动程序病毒失去活性 349
12.7.7 对付只读型的内核内存 350
12.7.8 64位平台上内核模式的内存扫描 351
12.8 可能的内存扫描攻击 353
12.9 结论和下一步工作 354
参考文献 354
第13章 蠕虫拦截技术和基于主机的入侵防御 356
13.1 引言 356
13.1.1 脚本拦截和SMTP蠕虫拦截 357
13.1.2 需要拦截的新型攻击：CodeRed,Slammer 359
13.2 缓冲区溢出攻击的对策 359
13.2.1 代码复查 360
13.2.2 编译器级的解决方案 361
13.2.3 操作系统级的解决方案和运行时扩展 366
13.2.4 子系统扩展——Libsafe 367
13.2.5 内核模式扩展 368
13.2.6 程序监管 369
13.3 蠕虫拦截技术 369
13.3.1 注入代码检测 369
13.3.2 发送拦截：自发送型代码的 374
拦截实例 374
13.3.3 异常处理程序验证 375
13.3.4 减轻Return-to-LIBC攻击的其他技术 378
13.3.5 “GOT”和“IAT”页面属性 381
13.3.6 高连接数和大量的连接错误 382
13.4 未来可能出现的蠕虫攻击 382
13.4.1 反制蠕虫数量的可能增长 382
13.4.2 雷达探测不到的“慢”蠕虫 382
13.4.3 多态和变形蠕虫 383
13.4.4 大规模的破坏 384
13.4.5 自动化的漏洞利用代码发现——从环境中学习 384
13.5 结论 384
参考文献 385
第14章 网络级防御策略 387
14.1 引言 387
14.2 使用路由器访问列表 388
14.3 防火墙保护 389
14.4 网络入侵检测系统 391
14.5 蜜罐系统 392
14.6 反击 395
14.7 早期预警系统 395
14.8 蠕虫的网络行为模式 396
14.8.1 捕捉Blaster蠕虫 396
14.8.2 捕捉Linux/Slapper蠕虫 397
14.8.3 捕捉W32/Sasser.D蠕虫 399
14.8.4 捕获W32/Welchia蠕虫的ping请求 401
14.8.5 检测W32/Slammer及相关的漏洞利用代码 401
14.9 结论 403
参考文献 403
第15章 恶意代码分析技术 404
15.1 个人的病毒分析实验室 404
15.2 信息、信息、信息 406
15.2.1 系统结构指南 406
15.2.2 知识库 406
15.3 VMware上的专用病毒分析系统 407
15.4 计算机病毒分析过程 408
15.4.1 准备 408
15.4.2 脱壳 413
15.4.3 反汇编和解密 413
15.4.4 动态分析技术 419
15.5 维护恶意代码库 437
15.6 自动分析：数字免疫系统 437
参考文献 439
第16章 结论 441
进一步阅读资料 441
安全和早期预警方面的信息 441
安全更新 442
计算机蠕虫爆发统计数据 442
计算机病毒研究论文 442
反病毒厂商联系方式 443
反病毒产品测试机构及相关网站 444