Rootkits

出版者:Addison-Wesley Professional

作者:Greg Hoglund

页数:352

出版时间:2005-8-1

价格:USD 59.99

装帧:Paperback

isbn号码:9780321294319

具体描述

"It's imperative that everybody working in the field of cyber-security read this book to understand the growing threat of rootkits."

--Mark Russinovich, editor, Windows IT Pro / Windows & .NET Magazine "This material is not only up-to-date, it defines up-to-date. It is truly cutting-edge. As the only book on the subject, Rootkits will be of interest to any Windows security researcher or security programmer. It's detailed, well researched and the technical information is excellent. The level of technical detail, research, and time invested in developing relevant examples is impressive. In one word: Outstanding."

--Tony Bautts, Security Consultant; CEO, Xtivix, Inc. "This book is an essential read for anyone responsible for Windows security. Security professionals, Windows system administrators, and programmers in general will want to understand the techniques used by rootkit authors. At a time when many IT and security professionals are still worrying about the latest e-mail virus or how to get all of this month's security patches installed, Mr. Hoglund and Mr. Butler open your eyes to some of the most stealthy and significant threats to the Windows operating system. Only by understanding these offensive techniques can you properly defend the networks and systems for which you are responsible."

--Jennifer Kolde, Security Consultant, Author, and Instructor "What's worse than being owned? Not knowing it. Find out what it means to be owned by reading Hoglund and Butler's first-of-a-kind book on rootkits. At the apex the malicious hacker toolset--which includes decompilers, disassemblers, fault-injection engines, kernel debuggers, payload collections, coverage tools, and flow analysis tools--is the rootkit. Beginning where Exploiting Software left off, this book shows how attackers hide in plain sight.

"Rootkits are extremely powerful and are the next wave of attack technology. Like other types of malicious code, rootkits thrive on stealthiness. They hide away from standard system observers, employing hooks, trampolines, and patches to get their work done. Sophisticated rootkits run in such a way that other programs that usually monitor machine behavior can't easily detect them. A rootkit thus provides insider access only to people who know that it is running and available to accept commands. Kernel rootkits can hide files and running processes to provide a backdoor into the target machine.

"Understanding the ultimate attacker's tool provides an important motivator for those of us trying to defend systems. No authors are better suited to give you a detailed hands-on understanding of rootkits than Hoglund and Butler. Better to own this book than to be owned."

--Gary McGraw, Ph.D., CTO, Cigital, coauthor of Exploiting Software (2004) and Building Secure Software (2002), both from Addison-Wesley "Greg and Jamie are unquestionably the go-to experts when it comes to subverting the Windows API and creating rootkits. These two masters come together to pierce the veil of mystery surrounding rootkits, bringing this information out of the shadows. Anyone even remotely interested in security for Windows systems, including forensic analysis, should include this book very high on their must-read list."

--Harlan Carvey, author of Windows Forensics and Incident Recovery (Addison-Wesley, 2005) Rootkits are the ultimate backdoor, giving hackers ongoing and virtually undetectable access to the systems they exploit. Now, two of the world's leading experts have written the first comprehensive guide to rootkits: what they are, how they work, how to build them, and how to detect them. Rootkit.com's Greg Hoglund and James Butler created and teach Black Hat's legendary course in rootkits. In this book, they reveal never-before-told offensive aspects of rootkit technology--learn how attackers can get in and stay in for years, without detection. Hoglund and Butler show exactly how to subvert the Windows XP and Windows 2000 kernels, teaching concepts that are easily applied to virtually any modern operating system, from Windows Server 2003 to Linux and UNIX. Using extensive downloadable examples, they teach rootkit programming techniques that can be used for a wide range of software, from white hat security tools to operating system drivers and debuggers. After reading this book, readers will be able to Understand the role of rootkits in remote command/control and software eavesdropping Build kernel rootkits that can make processes, files, and directories invisible Master key rootkit programming techniques, including hooking, runtime patching, and directly manipulating kernel objects Work with layered drivers to implement keyboard sniffers and file filters Detect rootkits and build host-based intrusion prevention software that resists rootkit attacks Visit rootkit.com for code and programs from this book. The site also contains enhancements to the book's text, such as up-to-the-minute information on rootkits available nowhere else.

读后感

书不厚，但是内容的分量很足，并且不是普通的读者就能立刻上手的。它不像Windows核心编程一书那样详实，但在关键之处毫不含糊。这从它给出的示例就能看出来。这本书的作者已经假设读者有了很强的程序设计背景，在内核驱动编程，Windows内存管理，PE文件格式等这些系统程序...  

书不厚，但是内容的分量很足，并且不是普通的读者就能立刻上手的。它不像Windows核心编程一书那样详实，但在关键之处毫不含糊。这从它给出的示例就能看出来。这本书的作者已经假设读者有了很强的程序设计背景，在内核驱动编程，Windows内存管理，PE文件格式等这些系统程序...  

在卓越上买的，订单后看了一下英文版的，发现没必要买纸质书了，但是货已经发出来了…… 英文版的用的都是很简单的单词，很容易看懂，觉得买中文版有点亏了…… 清华大学出版社，能不能把纸张弄好一点啊！  

个人觉得写的很不错，有人说翻译的不是很好，可读到现在觉得翻译的还是可以的，只是有些地方知识跨度可能会影响理解，不过多读两遍觉得翻译的还是不错的。 ---个人见解  

在卓越上买的，订单后看了一下英文版的，发现没必要买纸质书了，但是货已经发出来了…… 英文版的用的都是很简单的单词，很容易看懂，觉得买中文版有点亏了…… 清华大学出版社，能不能把纸张弄好一点啊！  

用户评价

《Rootkits》这本书给我带来的体验，与其说是一次阅读，不如说是一次对数字世界阴暗面的深度探索。作者以一种近乎“解剖”的精细度，将Rootkits这一复杂而危险的恶意软件家族展现在读者面前。我曾以为Rootkits只是简单的文件隐藏，但阅读这本书后，我才意识到其隐匿和破坏能力的复杂程度远远超乎我的想象。书中对不同类型的Rootkits进行了细致的分类，从用户模式Rootkits到内核模式Rootkits，再到更高级的虚拟机Rootkits和固件Rootkits，每一个分支都被作者抽丝剥茧般地剖析。我尤其对内核模式Rootkits的部分印象深刻，作者详细讲解了如何通过Hooking系统调用、修改内核数据结构、甚至直接篡改内核代码来隐藏自身或窃取信息。例如，书中对SSDT Hooking、IRP Hooking等技术的详细描述，让我得以窥探到Rootkits是如何绕过操作系统自身的安全机制，实现其邪恶的目的。阅读这些内容时，我仿佛置身于一个高度紧张的攻防场景，一方面惊叹于攻击者的高超技艺，另一方面也更加坚定了学习安全防护技术的决心。此外，书中对Rootkits的生命周期进行了完整的描绘，从最初的注入、加载，到如何建立持久性连接、隐藏自身、执行恶意操作，再到最后的销毁或逃避检测，每一个环节都经过了深入的分析。作者还分享了许多实际案例，通过分析真实世界的Rootkits样本，让我能够更直观地理解这些技术是如何被恶意使用的。这种将理论与实践相结合的写作方式，极大地提升了阅读的吸引力和学习的效果。这本书也让我重新审视了操作系统的安全模型，它让我明白，看似坚固的操作系统，在Rootkits面前，依然存在着诸多潜在的漏洞和攻击面。

从这本书的标题《Rootkits》开始，我就知道我即将进入一个充满挑战和刺激的领域。作为一名对信息安全充满好奇的爱好者，我一直对那些能够深入系统核心、操纵一切的“幽灵”技术感到着迷。这本书恰恰满足了我的好奇心，它以一种极其详尽和严谨的方式，揭示了Rootkits的运作机制。作者在讲解过程中，并没有回避那些晦涩难懂的技术术语，而是用清晰易懂的语言，配合大量的图示和代码示例，将复杂的概念一一呈现。我尤其喜欢书中对各种Rootkits技术的分类和对比。例如，作者详细比较了用户模式Rootkits和内核模式Rootkits在实现难度、隐匿性以及对系统影响方面的差异。对内核模式Rootkits的深入剖析，让我对操作系统内核的复杂性和脆弱性有了更深刻的认识。书中讲解的各种Hooking技术，如Inline Hooking、Import Table Hooking、IAT Hooking等，都配有具体的代码实现思路，这让我能够通过阅读代码来理解技术原理，而不仅仅是被动地接受信息。同时，作者还探讨了Rootkits的检测和防御技术，从反病毒软件的检测原理，到一些高级的手动检测方法，都进行了详细的介绍。我尤其对书中关于内存取证和系统行为监控的章节印象深刻。作者分享了许多实用的工具和技巧，让我能够掌握一些基本的Rootkits检测能力。这本书不仅仅是一本技术指南，更是一种思维方式的启迪。它让我明白，在信息安全领域，理解攻击者的思路和技术，是进行有效防御的关键。

这本书的书名《Rootkits》本身就带有一种神秘和技术深度，让我想起那些潜藏在系统深处、不为人知的存在。在拿到这本书之前，我对“Rootkits”这个概念已经有所耳闻，知道它与恶意软件、系统安全息息相关，但具体如何运作，如何被检测和防御，我却知之甚少。翻开这本书，我首先被其详实的内容所吸引。作者似乎花费了大量精力去剖析Rootkits的各种变种和技术细节，从早期简单的文件隐藏到如今复杂的内核级篡改，这本书仿佛是一部Rootkits发展史的编年史，让我对这个领域有了宏观的认识。我尤其对书中关于不同操作系统（如Windows、Linux、macOS）上Rootkits实现方式的对比分析印象深刻。作者不仅解释了它们在架构上的差异，还深入探讨了如何利用这些差异来规避安全检测。例如，在Windows平台上，作者详细讲解了DLL注入、Hooking技术如何在用户模式和内核模式下悄无声息地修改系统行为；而在Linux系统中，则着重介绍了LKM（Loadable Kernel Module）如何被滥用，以及一些更底层的技术，如通过修改中断向量表来实现持久化。这种跨平台的深入分析，让我能够更全面地理解Rootkits的威胁，也为我日后进行更深入的安全研究打下了基础。此外，书中对Rootkits的检测技术也进行了详尽的阐述。从基于签名的检测到行为分析，再到内存取证和内核审计，作者列举了各种方法，并对它们的优缺点进行了评价。我特别欣赏作者在讲解检测技术时，不仅仅停留在理论层面，而是提供了大量的实践案例和代码示例，让我能够亲手尝试，从而更好地理解其中的原理。例如，在介绍内存取证时，书中详细介绍了如何使用WinDbg或Volatility等工具来分析系统内存，找出隐藏的进程或模块，这对于理解Rootkits的隐匿性以及如何与之对抗至关重要。这本书的深度和广度都让我感到惊叹，它不仅仅是一本技术手册，更是一份对信息安全领域深刻洞察的体现。

《Rootkits》这本书的书名本身就充满了诱惑力，预示着它将带领读者深入到计算机系统的核心，揭示那些不为人知的存在。作为一名对网络安全有着浓厚兴趣的读者，我毫不犹豫地选择了这本书。阅读过程中，我被作者严谨的逻辑和深刻的洞察力所折服。书中对Rootkits的起源、发展以及各种变种进行了详尽的描述，让我对这个概念有了全新的认识。我尤其对书中关于内核模式Rootkits的章节记忆犹深。作者详细解释了Rootkits如何利用操作系统的漏洞，例如通过栈溢出、堆溢出等方式，将恶意代码注入到内核空间，从而获得对整个系统的最高权限。书中对SSDT Hooking、Inline Hooking等技术的讲解，配以大量的伪代码和图示，使得抽象的技术概念变得生动具体。我了解到，Rootkits不仅仅是简单的隐藏文件，它们能够修改系统的正常行为，例如拦截关键的系统调用，窃取敏感信息，甚至完全控制系统。此外，书中还对Rootkits的检测和清除技术进行了深入的探讨。作者介绍了多种检测方法，从基于签名的检测到行为分析，再到更高级的内存取证和内核审计，为读者提供了多层次的安全防护思路。我从书中学习到了如何使用一些专业的安全工具来扫描和分析系统，从而找出隐藏的Rootkits。这本书让我深刻认识到，在数字世界中，隐藏和揭露始终是矛与盾的关系，而Rootkits正是隐藏技术发展到极致的产物。

《Rootkits》这本书给我的最大感受是，它让我看到了一个隐藏在数字世界表象之下的幽深领域。作者以一种近乎解剖学的细致，将Rootkits这一复杂的恶意软件家族呈现在读者面前。我一直对那些能够操纵系统底层、不留痕迹的技术感到好奇，而这本书正是满足了我的这种好奇心。书中对Rootkits的分类和变种的介绍，让我看到了其发展演变的过程，从简单的文件隐藏到如今能够完全控制整个操作系统。我特别对书中关于内核模式Rootkits的章节印象深刻，作者详细讲解了如何通过Hooking系统调用、修改内核数据结构、甚至直接篡骗内核代码来隐藏自身和执行恶意操作。这些技术细节的披露，让我对Rootkits的强大能力和隐匿性有了更直观的认识。同时，作者在书中也花费了大量篇幅介绍Rootkits的检测和防御技术。从基于签名的检测到行为分析，再到内存取证和内核审计，书中列举了各种方法，并对它们的优缺点进行了评价。我从书中学习到了许多实用的检测技巧，这让我能够更好地保护自己的系统免受Rootkits的侵害。这本书不仅仅是一本技术手册，更是一份对信息安全领域深刻洞察的体现，它让我明白，在信息安全领域，理解攻击者的技术，是进行有效防御的关键。

当我拿到《Rootkits》这本书时，我就知道我即将进行一次深入的探索。Rootkits这个词本身就充满了神秘感，它代表着对系统最深层控制的追求，也意味着最隐蔽的威胁。这本书没有辜负我的期望，它以一种极其详尽和严谨的方式，揭示了Rootkits的运作机制。作者在讲解过程中，并没有回避那些晦涩难懂的技术术语，而是用清晰易懂的语言，配合大量的图示和代码示例，将复杂的概念一一呈现。我尤其喜欢书中对各种Rootkits技术的分类和对比。例如，作者详细比较了用户模式Rootkits和内核模式Rootkits在实现难度、隐匿性以及对系统影响方面的差异。对内核模式Rootkits的深入剖析，让我对操作系统内核的复杂性和脆弱性有了更深刻的认识。书中讲解的各种Hooking技术，如Inline Hooking、Import Table Hooking、IAT Hooking等，都配有具体的代码实现思路，这让我能够通过阅读代码来理解技术原理，而不仅仅是被动地接受信息。同时，作者还探讨了Rootkits的检测和防御技术，从反病毒软件的检测原理，到一些高级的手动检测方法，都进行了详细的介绍。我尤其对书中关于内存取证和系统行为监控的章节印象深刻。作者分享了许多实用的工具和技巧，让我能够掌握一些基本的Rootkits检测能力。这本书让我认识到，Rootkits不仅仅是简单的恶意软件，它们是高度复杂、精心设计的系统攻击工具，其背后蕴含着对操作系统底层机制的深刻理解。

书名《Rootkits》如同一个通往未知领域的邀请函，我怀揣着探索和学习的心情翻开了它。这本书的独特之处在于，它并没有停留在对Rootkits现象的简单描述，而是深入剖析了其背后所依赖的底层技术和原理。作者以极强的专业性和条理性，将Rootkits的各种实现方式娓娓道来。我印象最深刻的是书中关于Rootkits如何实现持久化的章节。作者详细介绍了各种技术，如修改启动顺序、利用计划任务、甚至通过修改BIOS/UEFI固件来确保Rootkits在系统重启后依然能够存活。这些技术展示了Rootkits攻击的持久性和隐蔽性，让我对恶意软件的复杂程度有了更深的认识。同时，书中对Rootkits的检测和对抗也进行了充分的论述。作者不仅介绍了传统的反病毒软件的工作原理，还分享了许多高级的检测技术，例如使用专门的工具来扫描内存、检查内核对象的完整性、监控系统调用的行为等。我从书中学习到了如何从更深层次去理解和应对Rootkits的威胁，这远比仅仅安装一个杀毒软件要有效得多。这本书的价值在于它能够帮助读者建立起一套完整的安全思维框架，让我明白，理解攻击者的技术，是构建有效防御体系的第一步。

当我第一次接触到《Rootkits》这本书的书名时，我便被它深深吸引。Rootkits本身就是一个充满神秘感和技术挑战的概念，它代表着对系统最深层控制的追求，也暗示着最隐蔽的威胁。阅读这本书的过程，就像是在探究一个精心构建的迷宫，作者一步一步地引导我，从入口到核心，将Rootkits的各种形态和运作原理展现在我眼前。我尤其欣赏作者在书中对不同Rootkits技术的细致分类和讲解。例如，书中对进程隐藏、文件隐藏、网络连接隐藏以及内存隐藏等技术的讲解，都配有清晰的图解和逻辑分析。作者通过详细的步骤，展示了Rootkits是如何巧妙地操纵操作系统提供的API，从而实现对信息的隐藏和对系统的控制。我特别对书中关于Windows内核Rootkits的部分印象深刻，作者详细讲解了如何利用SSDT Hooking、Inline Hooking等技术来修改内核函数的行为，从而实现对系统调用链的劫持。这些内容让我对Rootkits的隐匿能力有了更深刻的理解。同时，书中对Rootkits的检测和防御也进行了详尽的阐述。作者列举了多种检测手段，包括行为分析、内存取证、内核模块扫描等，并对每种方法的原理和局限性进行了评价。我从书中学习到了许多实用的检测技巧，这让我能够更好地保护自己的系统免受Rootkits的侵害。这本书的价值不仅在于其技术内容的深度，更在于它能够激发读者对信息安全领域的兴趣和思考。

《Rootkits》这本书对我来说，是一次深入系统底层、探究隐匿之术的旅程。在阅读之前，我对Rootkits的认识仅限于一些模糊的概念，知道它们是隐藏在操作系统深处的恶意代码。然而，这本书以其无与伦比的深度和广度，彻底颠覆了我原有的认知。作者在书中详细阐述了Rootkits的各种类型，从文件系统Rootkits、网络Rootkits到内存Rootkits，每一种类型都被深入剖析，揭示了其隐藏和操纵系统的方式。我特别对书中关于内核模式Rootkits的论述印象深刻。作者详尽地解释了如何通过修改中断描述符表（IDT）、全局描述符表（GDT）以及任务状态段（TSS）等关键内核数据结构，来实现对系统行为的底层控制。这些细节的披露，让我对Rootkits的强大之处有了更直观的认识。此外，书中对Rootkits的持久化技术也进行了深入探讨，包括如何通过修改启动项、注册表键值，甚至利用EFI/UEFI固件来实现开机自启动，确保其在系统重启后依然能够存在。这种对Rootkits生存能力的详细解析，让我对恶意软件的顽固性有了更深刻的体会。同时，作者还花了大篇幅介绍Rootkits的检测方法，从传统的签名检测，到行为分析，再到内存取证和静态分析，每一种方法都被详细讲解，并附有大量的实践指导。例如，书中关于如何使用Volatility框架来分析内存映像，找出隐藏的进程和模块的章节，对我来说非常有价值。这本书让我认识到，Rootkits不仅仅是简单的恶意软件，它们是高度复杂、精心设计的系统攻击工具，其背后蕴含着对操作系统底层机制的深刻理解。

《Rootkits》这本书的书名本身就充满了探索的意味，它承诺将带领读者深入到计算机系统的阴暗角落，去了解那些难以察觉的“幽灵”。在阅读之前，我对Rootkits的理解仅限于一些模糊的概念，知道它们是隐藏在操作系统深处的恶意代码。然而，这本书以其无与伦比的深度和广度，彻底颠覆了我原有的认知。作者在书中详细阐述了Rootkits的各种类型，从文件系统Rootkits、网络Rootkits到内存Rootkits，每一种类型都被深入剖析，揭示了其隐藏和操纵系统的方式。我特别对书中关于内核模式Rootkits的论述印象深刻。作者详尽地解释了如何通过修改中断描述符表（IDT）、全局描述符表（GDT）以及任务状态段（TSS）等关键内核数据结构，来实现对系统行为的底层控制。这些细节的披露，让我对Rootkits的强大之处有了更直观的认识。此外，书中对Rootkits的生命周期进行了完整的描绘，从最初的注入、加载，到如何建立持久性连接、隐藏自身、执行恶意操作，再到最后的销毁或逃避检测，每一个环节都经过了深入的分析。作者还分享了许多实际案例，通过分析真实世界的Rootkits样本，让我能够更直观地理解这些技术是如何被恶意使用的。这本书让我认识到，Rootkits不仅仅是简单的恶意软件，它们是高度复杂、精心设计的系统攻击工具，其背后蕴含着对操作系统底层机制的深刻理解。

这本书现在来看有点老了，这几年SP，CCS的新方向太多了

这本书现在来看有点老了，这几年SP，CCS的新方向太多了

这本书现在来看有点老了，这几年SP，CCS的新方向太多了

内核级的，很多没看懂

这本书现在来看有点老了，这几年SP，CCS的新方向太多了