Windows内核安全编程从入门到实践PDF|Epub|txt|kindle电子书版本下载

Windows内核安全编程从入门到实践PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第一部分 基础篇2

第1章 前置要求与环境搭建2

1.1 驱动编程的语言2

1.2 开发环境搭建2

1.2.1 Visual Studio 2005/2008的安装与配置2

1.2.2 WDK的安装与配置4

1.2.3 VisualDDK的安装与配置5

1.3 常用工具介绍6

第2章 内核编程基础知识7

2.1 Windows主要系统组件7

2.1.1 对象管理器7

2.1.2 内存管理器7

2.1.3 进程和线程管理器7

2.1.4 I/O管理器8

2.1.5 PnP管理器8

2.1.6 电源管理器8

2.1.7 配置管理器9

2.1.8 安全引用监视器9

2.2 常见名词解释9

2.2.1 内核名词9

2.2.2 文件名词13

2.2.3 网络名词13

2.3 常见内核数据结构15

2.3.1 驱动框架常见数据结构15

2.3.2 进程与线程数据结构17

2.3.3 存储系统数据结构23

2.3.4 网络数据结构25

2.3.5 其他一些常见的数据结构29

第3章 基本编程方法37

3.1 简单的NT式驱动模型37

3.1.1 驱动模型的选择37

3.1.2 NT式驱动程序基本结构37

3.1.3 编译驱动程序40

3.1.4 加载驱动及查看输出信息40

3.2 应用层与内核的通信方法43

3.2.1 访问数据的I/O方式43

3.2.2 读写驱动程序45

3.2.3 发送I/O控制码49

3.2.4 内存共享54

3.3 同步技术56

3.3.1 事件对象56

3.3.2 信号灯对象57

3.3.3 互斥体对象58

3.3.4 定时器对象61

3.3.5 自旋锁64

3.3.6 回调对象64

3.3.7 原子操作70

3.4 IRP处理70

3.4.1 简单的IRP流动图71

3.4.2 IRP的创建72

3.4.3 IRP的发送75

3.4.4 为IRP设置完成函数76

3.4.5 IRP的完成78

3.4.6 多种典型的IRP处理示例85

3.5 字符串操作89

3.5.1 STRING、ANSI_STRING和UNICODE_STRING89

3.5.2 初始化和销毁90

3.5.3 复制和添加91

3.5.4 比较92

3.5.5 转换93

3.6 内存管理94

3.6.1 分配系统空间内存94

3.6.2 运行时库管理函数95

3.6.3 使用内核栈96

3.6.4 使用Lookaside快速链表97

3.6.5 访问用户空间内存101

3.6.6 存区对象和视图101

3.6.7 MDL的使用103

3.7 注册表编程105

3.7.1 注册表对象管理函数105

3.7.2 注册表运行时库函数112

3.7.3 注册表调用过滤116

3.8 文件编程120

3.8.1 打开文件句柄120

3.8.2 执行相关文件操作121

3.9 其他127

3.9.1 本地系统服务函数的Nt和Zw版本127

3.9.2 NTSTATUS返回值128

3.9.3 双向链表的使用128

3.9.4 异常处理129

第二部分 提升篇132

第4章 进程132

4.1 进程监控实现原理132

4.2 Windows 7系统下的进程监控软件实例132

4.2.1 内核模块程序实现132

4.2.2 用户模式程序实现149

4.3 安装与使用164

第5章 磁盘165

5.1 存储驱动体系结构165

5.2 设备树示例166

5.3 diskperf磁盘过滤驱动167

5.3.1 diskperf介绍167

5.3.2 diskperf的过滤框架168

5.3.3 diskperf的PnP支持172

5.3.4 diskperf的硬盘访问监控和性能数据捕获187

5.3.5 diskperf的电源支持194

5.3.6 diskperf的安装与测试194

第6章 键盘197

6.1 原理跟踪197

6.1.1 自下而上的过程197

6.1.2 自上而下的过程205

6.2 几种常见的键盘记录行为208

6.2.1 应用层的消息钩子208

6.2.2 键盘过滤驱动208

6.2.3 键盘类驱动的分发函数Hook214

6.2.4 DKOM技术214

6.2.5 其他方法215

6.3 反键盘记录216

6.3.1 实现原理216

6.3.2 反键盘记录示例216

第7章 文件242

7.1 原理跟踪242

7.1.1 Windows存储栈242

7.1.2 不涉及缓存的数据存储243

7.1.3 涉及缓存的数据存储253

7.2 简单的文件隐藏254

7.2.1 文件隐藏的原理254

7.2.2 文件隐藏的实现255

7.3 scanner扫描程序264

7.3.1 过滤管理器与微过滤驱动概念265

7.3.2 使用过滤管理模型的优势266

7.3.3 微过滤驱动的加载和卸载267

7.3.4 用户模式和内核模式的交互269

7.3.5 scanner介绍287

7.3.6 scanner驱动程序288

7.3.7 scanner应用层程序303

7.3.8 scanner的安装与使用309

第8章 网络310

8.1 原理跟踪310

8.2 NDIS协议驱动317

8.2.1 DriverEntry317

8.2.2 绑定320

8.2.3 数据发送327

8.2.4 数据接收334

8.2.5 数据流动总结348

8.3 OPEN_BLOCK的展示349

8.3.1 原理知识349

8.3.2 相关代码351

第三部分 辅助篇358

第9章 安全编码358

9.1 蓝屏的概念358

9.2 创建可靠的驱动程序359

9.2.1 验证设备对象359

9.2.2 使用安全字符串359

9.2.3 验证对象句柄362

9.2.4 支持多CPU363

9.2.5 确认驱动状态364

9.2.6 IRP安全检查364

9.3 使用驱动验证程序369

9.3.1 驱动验证程序的测试选项369

9.3.2 使用驱动验证程序388

第10章 调试与逆向389

10.1 静态调试389

10.1.1 静态调试驱动程序389

10.1.2 静态调试应用程序390

10.2 动态调试392

10.2.1 双机调试的基本方法392

10.2.2 WinDbg的常用命令394

10.2.3 WinDbg的使用技巧397

10.3 逆向与调试相结合408

10.3.1 示例408