国产精品久久久久久一区二区,亚洲日本在线观看,老牛国产精品一区的观看方式

內容簡介

Amazon五星級暢銷書，rootkit領域的重要著作，計算機安全領域公認經典。從反取證角度，深入、系統解讀rootkit的本質和核心技術，以及如何構建屬于自己的rootkit武器。包含大量模塊化示例，行文風趣幽默，頗具實戰性和可讀性。

全書共分四部分。及時部分(第1～6章)，全新闡釋rootkit 本質、rootkit與反取證關系、安全領域態勢，以及反取證技術的策略、應對建議和攻擊優勢。之后，從硬件、軟件(系統)、行業工具和內核空間方面介紹rootkit調查過程和利用反取證技術破壞調查過程的策略，使你對取證和反取證有全新了解。第二部分(第7～8章)，主要介紹rootkit如何阻止磁盤分析和可執行文件的分析，而調查人員如何利用有效的工具和策略來分析輔助存儲器(例如磁盤分析、卷分析、文件系統分析以及未知二進制分析)中可能留下的rootkit痕跡，并對內存駐留和多級釋放器技術及用戶態Exec(Userland Exec)理念進行了深入剖析。第三部分(第9～15章)主要詳解攻擊者利用rootkit破壞數據收集過程和造成"一切安好"的假象的前沿實用策略：阻止在線取證、內核模式策略、更改調用表、更改代碼、更改內核對象、創建隱秘通道和部署帶外rootkit。第四部分(第16章)，高屋建瓴地重新總結了rootkit的核心策略，以及如何識別隱藏的rootkit、注意事項和如何處理感染等。

編輯推薦

相關推書推薦：

《Web之困：現代Web應用安全指南》

《Metasploit滲透測試魔鬼訓練營》 (首本中文原創Metasploit滲透測試著作！國內信息安全領域布道者和博學Metasploit滲透測試專家領銜撰寫。)

《惡意軟件、Rootkit和僵尸網絡》 (惡意軟件、Rootkit和僵尸網絡領域經典入門書，譯著雙馨，10余家安全機構聯袂推薦，Amazon五星暢銷書)

《黑客免殺攻防》 (多方位揭示黑客免殺技術的常用方法、技術細節和思想原理，為反病毒工程師剖析惡意軟件和遏制免殺技術提供具體方法和應對策略)

《Rootkit：系統灰色地帶的潛伏者》 (原書第2版)(Amazon五星級暢銷書，rootkit領域的重要著作，計算機安全領域公認經典)

《滲透測試實踐指南：必知必會的工具與方法》 (Amazon五星級超級暢銷書，美國國家安全局主管Keith B. Alexander將軍(向奧巴馬匯報)鼎力推薦！)

《BackTrack4：利用滲透測試保障系統安全》

Amazon五星級暢銷書，rootkit領域的重要著作，計算機安全領域公認經典。

從反取證角度，深入、系統解讀rootkit的本質和核心技術，以及如何構建屬于自己的Rootkit武器，包含大量模塊化示例，行文風趣幽默。

作者簡介

Bill Blunden

博學計算機安全專家，從事相關研究10余年，對rootkit有非常深入的研究。目前從事網絡安全設備代碼和ERP中間件的相關工作。活躍于計算機安全類社區，常與計算機安全領域多名安全專家交流探討。在學術生涯中走過不少彎路，因此對計算機安全有異于常人的觀察角度和體會。

在線預覽

及時部分

基礎知識

第1章?清空思想

各位，拋棄你過去的思想，這是學習本書的起點。沿著本書指明的道路前進吧，很快你將見到美好而可畏的奧茲國。在本章中，我們將總體介紹rootkit相關情況，討論"rootkit"這個詞的詞源，以及怎樣把rootkit技術運用于攻擊循環的基本框架和相應的領域。為了突出rootkit的獨特特征，我們將把該技術和幾種惡意軟件進行對比，并糾正一些常見的錯誤觀念。

1.1?不速之客

幾年前，媒體報道了一位獨居在日本福岡市中年男子的故事。該男子幾個月以來發現，廚房里的一些食物不見了。這是個有啟發意義的教訓：如果你感覺什么東西不對，相信自己的直覺。

那么，這個日本單身漢怎么做的呢？他架起一個監控攝像頭并把監控圖像傳到自己的手機上。某24小時，攝像頭捕捉到一個人在他的公寓里走動。他認為那是小偷，立即打電話報了警，于是警察就沖向他的公寓去抓那個小偷。當警察來到他家后，發現家中所有的門窗緊鎖。警察在公寓內搜查后發現一個名叫Tatsuko Horikawa的58歲婦女蜷縮在衣柜底部。根據警方調查，她無家可歸并至少在衣柜里住了半年之久。

該婦女向警察解釋道，某24小時，當這個單身漢離家而沒鎖門時，她得以及時次進入這個公寓。日本當局懷疑，為了將被抓獲的風險降到低，這個婦女只是有時住在這個公寓，并往返于不同的公寓之間居住。當她隱藏在公寓時，一般會洗個澡，然后在她睡的衣柜里鋪上墊子，并喝上幾瓶水以渡過難關。警方發言人Horiki Itakura稱該婦女"既整潔又干凈"。

從某種意義上說，這就是rootkit：一位不速之客，非常整潔、干凈且難以發現。

1.2?提煉一個更確切的定義

雖然將入侵者比喻為既整潔又干凈的不速之客的確有助于我們的理解，但還是讓我們通過這個詞的起源來追蹤該詞更加確切的定義。按照UNIX領域內的說法，系統管理員賬戶(即安全限制最少的用戶賬戶)通常稱為root賬戶。這個特殊賬戶有時在字面上稱為"root"，但是這種叫法更多的是歷史習慣而不是規定。

"攻陷"一臺電腦并取得該電腦的管理員權限稱為root一臺機器。取得root賬戶權限的攻擊者就可以稱他已經root了該機器。另外一種描述你已經root一臺電腦的說法是你own(擁有)了它，這種說法的本意是指你可以對這臺電腦為所欲為，因為你已經控制了這臺機器。按照因特網上的說法，在標準的計算機鍵盤上，由于字母p和o毗鄰，致使一些人用pwn代替own。

嚴格地說，你并不需要通過取得管理員賬戶權限來root電腦。root電腦的最終目的是取得與管理員同級別的原始訪問權限。例如，在安裝有Windows系統的機器中，SYSTEM賬戶表示操作系統本身，實際上SYSTEM賬戶比管理員組中的賬戶擁有更高的權限。如果你能攻陷一個運行在SYSTEM賬戶下的Windows程序，這和擁有管理員權限具有同樣的效果(有過之而無不及)。事實上，有些人認為在SYSTEM賬戶下運行是非常高級的，因為追蹤一個使用SYSTEM賬戶的入侵者極度困難，系統產生的日志條目如此之多，很難區分哪些是由攻擊者產生的。

然而，root一臺機器與保持訪問權限有所區別(如同掙到一百萬美元和保管一百萬美元的區別)。有一些工具可以由有經驗的系統管理員來用于發現入侵者，并將他們踢出被攻陷的機器。一些新取得權限而大肆聲張的入侵者將會引起管理員的注意，失去他們的權限。對入侵者來說，關鍵是進入機器、取得權限、監控機器的狀態，然后隱藏起來享受他們的勞動成果。

《計算機行話辭典》把rootkit定義為"能保持root權限的一套工具"。換句話說，

rootkit是由二進制代碼、腳本和配置文件組成的集合體(例如，一套工具)，人們能夠使用它隱秘地保持對計算機的訪問權限，以便在不引起系統管理員注意的情況下命令、搜索數據。

設計良好的rootkit可以讓一臺被攻陷的機器看起來沒有任何異常，并使攻擊者在系統管理員的眼皮底下保持一個據點，而且他想待多久就待多久。

1.2.1?攻擊循環

現在你可能會想："好吧，root機器及時步該干什么呢？"要回答這個問題所涉及的話題可能幾本書都寫不完。出于簡潔的目的，我將提供一個簡要概述(可能有些不)。

假定一個精準攻擊的場景，大多數入侵者都會從搜集目標組織的概要情報開始。在這個攻擊階段中，將涉及信息篩選，例如篩選該組織的域名注冊信息、分配的公共IP地址范圍信息，也有可能要查閱證券交易委員會(Securities and Exchange Commission，SEC)的文件、年報和媒體信息以確定該組織辦公地點的位置。

如果攻擊者決定使用基于漏洞的方法進行攻擊，他們將通過情報搜集初期發現的目標組織的因特網蹤跡來枚舉主機，主要的枚舉方法有ping掃描或目標IP掃描，然后檢查發現的每臺存活主機運行的標準網絡服務。因此，像nmap這樣的工具就顯得必不可少。

當攻擊者識別到一臺特定的計算機并搜集一系列監聽服務后，將試圖尋找獲取shell訪問的方法，使他能夠執行任意的命令并可能進一步提升權限，甚至是取得root賬戶訪問權限(雖然有時在運行Windows的機器上取得超級用戶權限就足夠了)。例如，受攻擊的機器是網站服務器，攻擊者可能對開發拙劣的網站應用程序發起結構化查詢語言(Structured Query Language，SQL)注入攻擊，以突破與其相關聯的數據庫服務器的安全防護。然后，他能夠訪問數據庫服務器以獲取管理員權限，或許root賬戶密碼和數據庫管理員密碼是一樣的呢？

基于漏洞的方法并不是的攻擊方式，有無數的方式可以進行訪問并獲取權限。，一切都在于取得一些通往目標的接口(參見圖1.1)，然后提升你的權限。

這個接口不一定是傳統的命令行shell，它也有可能是攻擊者設計的專用API。你可以通過裝扮成修電腦的技術人員或通過肩窺(shoulder surfing)來建立接口。因此，用于root機器的工具范圍很廣：從社會工程學(例如魚叉式網絡釣魚、恐嚇性軟件、假托電話等)，到密碼蠻力破解、偷竊備份，再到像Joanna Rutkowska的"Evil Maid"之類的離線攻擊。基于我個人的經驗和同行們提供的信息，在大規模攻擊中，軟件漏洞和社會工程學是經常采用的兩類入侵方法。

1.2.2?rootkit在攻擊循環中的角色

rootkit通常在攻擊循環的階段發揮作用，這就是為什么稱它們為post-exploit工具的原因。你一旦獲得接口并(用某種方式)提升為root權限，接下來自然就是要保持已攻陷機器的訪問權限(也稱為駐扎場地或據點)，rootkit有助于實現持續性訪問。至此，攻擊者就可以從目標主機上挖掘有價值的信息了，如社會保險號、相關賬戶細節信息或者CVV2碼(即完整信用卡號碼、相應到期日期、賬單地址以及3位數的保險碼)。

或者，攻擊者可以簡單地運用當前據點來攻擊目標網絡內不能直接路由的其他機器，以擴大影響范圍，這種行為叫做支點攻擊(pivoting)，這種攻擊有助于混淆入侵源(參見圖1.2)。

注意，圖1.2中的一步為何不屬于支點攻擊。我在本書的前言就解釋過了，本書的側重點是臺式計算機，因為在很多情況下，攻擊者通過攻擊能夠訪問目標數據的客戶機以取得所需信息。當你能夠通過攻陷一些主管的臺式計算機系統以取得同樣的基本結果時，為什么還要花數天時間突破加固的企業級大型機的安全防護層呢？這是Pete的最愛，去摘樹上低懸的水果！正如Richard Bejtlich所說："一旦沒有了其他選擇，攻擊數據的最終點將落在對授權用戶有用的地方"。

1.2.3?單級釋放器與多級釋放器

在目標機器上安裝rootkit的方式各種各樣，有時它被安裝成一個由漏洞利用程序釋放的載荷。在此載荷中有個特殊程序叫做釋放器(dropper)，由它完成實際的安裝任務(參見圖1.3)。

釋放器的作用很多，例如幫助rootkit通過網關安全掃描，釋放器能夠變換rootkit(例如對rootkit進行壓縮、編碼或者加密)，然后把rootkit封裝成內部數據結構。當釋放器最終執行時，它將釋放(例如解壓縮、解碼、解密和安裝)rootkit。表現良好的釋放器事后會刪除自身，只留下rootkit所需的內容。

多級釋放器并不會將rootkit列為字節流的一部分，相反，它們將搭載在一些小程序上，例如定制的FTP客戶端、瀏覽器插件或存根程序，這些程序存在的目的就是從遠程網絡上下載rootkit(參見圖1.4)。在更極端的情況下，最初的存根程序可能會下載第二個更大的存根程序，然后第二個存根程序下載rootkit，通過兩個獨立的階段完成rootkit的安裝。

多級釋放器的思想在于最小化釋放器留下的取證證據數量。按這種方式，如果調查人員一旦發現一個未能恰當地觸發并執行自毀的釋放器，也無法分析你的rootkit代碼。例如，他試圖在一個獨立的沙盒環境中運行釋放器，但存根程序甚至無法下載rootkit。在最壞的案例場景中，存根程序將認識到那是個虛擬的環境而什么都不做。這個思路符合The Grugq的數據節育(data contraception)策略，我們將在本書的后面講述這一點。