網(wǎng)絡(luò)信息對(duì)抗第五章windows安全攻防-文庫(kù)吧
2025-01-15 17:03 本頁面
【正文】 用程序位置 ? HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce ? HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run ? HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ? HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run ? HKCU\Software\Microsoft\Windows\CurrentVersion\Run ? HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce ―開機(jī)自啟 ” 應(yīng)用程序位置 ? All Users ProfilePath\Start Menu\Programs\Startup\(please note that this path is localized on nonEnglish versions of Windows) ? Current User ProfilePath\Start Menu\Programs\Startup\(please note that this path is localized on nonEnglish versions of Windows) ? “開機(jī)自啟 ” 是惡意程序期望的目標(biāo)！ ? 太多了？！找工具幫你的忙 ? Autoruns ? 360安全衛(wèi)士 Autoruns 360安全衛(wèi)生 Windows文件系統(tǒng) ? FAT (File Allocation Table文件分配表 ) ? 1980: FAT12 1987: FAT16 1995: FAT32 ? 文件目錄表： Table。 文件分配表： Linked List ? 安全性弱，正在被 NTFS取代 ? NTFS (NT File System) ? 1990s: M$/IBM joint project, 從 OS/2文件系統(tǒng)HPFS繼承 ? NTFS for Windows NT , 較 FAT更具安全性(ACL)，更好的性能、可靠性和磁盤利用效率 ? 基于訪問控制列表機(jī)制保證文件讀寫安全性 ? 支持任意 UTF16命名，使用 B+樹進(jìn)行索引， … ? Metadata保存文件相關(guān)各種數(shù)據(jù)，保存在 Meta File Table(MFT) PE文件格式 Windows的進(jìn)程和線程管理 ? Windows下的進(jìn)程和線程 ? 可執(zhí)行程序 : 靜態(tài)指令序列 ? 進(jìn)程：一個(gè)容器，包含至少一個(gè)執(zhí)行線程 ? 線程：進(jìn)程內(nèi)部的指令執(zhí)行實(shí)體 ? Windows進(jìn)程構(gòu)成元素 ? 私有虛擬內(nèi)存地址空間 ? 映射至進(jìn)程內(nèi)存空間的可執(zhí)行程序 ? 資源句柄列表 ? 訪問令牌 (Security Access Token) ? 進(jìn)程 ID，父進(jìn)程 ID ? 至少一個(gè)執(zhí)行線程 ? Windows線程包含基本部件 (context) ? 處理器狀態(tài) CPU寄存器內(nèi)容 ? 兩個(gè)棧 (內(nèi)核模式、用戶模式 ) ? 線程局部存儲(chǔ)區(qū) (TLS)，共享進(jìn)程虛擬地址空間和資源列表 ? 線程 ID 執(zhí)行體進(jìn)程塊(EPROCESS/KPROCESS/PEB) 執(zhí)行體線程塊(ETHREAD/KTHREAD/TEB) Windows的內(nèi)存管理 ? 系統(tǒng)核心內(nèi)存區(qū)間 ? 0xFFFFFFFF~0x80000000 (4G~2G) ? 映射內(nèi)核、 HAL、 ? 內(nèi)核態(tài)可操縱 (DKOM) ? 用戶內(nèi)存區(qū)間 ? 0x00000000~0x80000000 (2G~0G) ? 堆 : 動(dòng)態(tài)分配變量 (malloc), 向高地址增長(zhǎng) ? 靜態(tài)內(nèi)存區(qū)間 : 全局變量、靜態(tài)變量 ? 代碼區(qū)間 : 從 0x00400000開始 ? 棧 : 向低地址增長(zhǎng) ? 單線程進(jìn)程： (棧底地址 : 0x0012FFXXXX) ? 每個(gè)線程對(duì)應(yīng)一個(gè)用戶態(tài)的棧和堆 ? Windows Memory layout Windows的內(nèi)存管理 程序裝載和運(yùn)行 Windows系統(tǒng) API調(diào)用過程 API Hooking機(jī)制 ? API Hooing: 對(duì) API調(diào)用過程進(jìn)行 Hook(掛鉤 ), 改變 API調(diào)用流程以達(dá)到某種目的的技術(shù)方法。 ? API Hooking目的 ? 隱藏自身存在 : 惡意代碼 , Rootkit ? 安全監(jiān)控和加強(qiáng) : 防病毒軟件 , … ? 安全監(jiān)控和分析 : Sandbox, … ? API Hooking技術(shù)手段 ? 用戶層 API Hooking: Proxy DLL, IAT Patching, Code overwriting, Debugger ? 內(nèi)核層 API Hooking: SSDT hook, IDT Hook, Sysenter hook, IRP hook ? 混合模式 API Hooking: 結(jié)合兩者，有些內(nèi)核 API沒有很好的文檔支持 Windows系統(tǒng)的注冊(cè)表 ? Windows系統(tǒng)注冊(cè)表 ? Windows配置和控制方面關(guān)鍵角色 ? 系統(tǒng)全局配置的存儲(chǔ)倉(cāng)庫(kù) ? 每
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1