《Rootkit：系统灰色地带的潜伏者（原书第2版）》书评-杂志之家

内容简介

Amazon五星级畅销书，rootkit领域的重要著作，计算机安全领域公认经典。从反取证角度，深入、系统解读rootkit的本质和核心技术，以及如何构建属于自己的rootkit武器。包含大量模块化示例，行文风趣幽默，颇具实战性和可读性。

全书共分四部分。及时部分(第1～6章)，全新阐释rootkit 本质、rootkit与反取证关系、安全领域态势，以及反取证技术的策略、应对建议和攻击优势。之后，从硬件、软件(系统)、行业工具和内核空间方面介绍rootkit调查过程和利用反取证技术破坏调查过程的策略，使你对取证和反取证有全新了解。第二部分(第7～8章)，主要介绍rootkit如何阻止磁盘分析和可执行文件的分析，而调查人员如何利用有效的工具和策略来分析辅助存储器(例如磁盘分析、卷分析、文件系统分析以及未知二进制分析)中可能留下的rootkit痕迹，并对内存驻留和多级释放器技术及用户态Exec(Userland Exec)理念进行了深入剖析。第三部分(第9～15章)主要详解攻击者利用rootkit破坏数据收集过程和造成"一切安好"的假象的前沿实用策略：阻止在线取证、内核模式策略、更改调用表、更改代码、更改内核对象、创建隐秘通道和部署带外rootkit。第四部分(第16章)，高屋建瓴地重新总结了rootkit的核心策略，以及如何识别隐藏的rootkit、注意事项和如何处理感染等。

编辑推荐

作者简介

Bill Blunden

博学计算机安全专家，从事相关研究10余年，对rootkit有非常深入的研究。目前从事网络安全设备代码和ERP中间件的相关工作。活跃于计算机安全类社区，常与计算机安全领域多名安全专家交流探讨。在学术生涯中走过不少弯路，因此对计算机安全有异于常人的观察角度和体会。

在线预览

及时部分

基础知识

第1章?清空思想

各位，抛弃你过去的思想，这是学习本书的起点。沿着本书指明的道路前进吧，很快你将见到美好而可畏的奥兹国。在本章中，我们将总体介绍rootkit相关情况，讨论"rootkit"这个词的词源，以及怎样把rootkit技术运用于攻击循环的基本框架和相应的领域。为了突出rootkit的独特特征，我们将把该技术和几种恶意软件进行对比，并纠正一些常见的错误观念。

1.1?不速之客

几年前，媒体报道了一位独居在日本福冈市中年男子的故事。该男子几个月以来发现，厨房里的一些食物不见了。这是个有启发意义的教训：如果你感觉什么东西不对，相信自己的直觉。

那么，这个日本单身汉怎么做的呢？他架起一个监控摄像头并把监控图像传到自己的手机上。某24小时，摄像头捕捉到一个人在他的公寓里走动。他认为那是小偷，立即打电话报了警，于是警察就冲向他的公寓去抓那个小偷。当警察来到他家后，发现家中所有的门窗紧锁。警察在公寓内搜查后发现一个名叫Tatsuko Horikawa的58岁妇女蜷缩在衣柜底部。根据警方调查，她无家可归并至少在衣柜里住了半年之久。

该妇女向警察解释道，某24小时，当这个单身汉离家而没锁门时，她得以及时次进入这个公寓。日本当局怀疑，为了将被抓获的风险降到低，这个妇女只是有时住在这个公寓，并往返于不同的公寓之间居住。当她隐藏在公寓时，一般会洗个澡，然后在她睡的衣柜里铺上垫子，并喝上几瓶水以渡过难关。警方发言人Horiki Itakura称该妇女"既整洁又干净"。

从某种意义上说，这就是rootkit：一位不速之客，非常整洁、干净且难以发现。

1.2?提炼一个更确切的定义

虽然将入侵者比喻为既整洁又干净的不速之客的确有助于我们的理解，但还是让我们通过这个词的起源来追踪该词更加确切的定义。按照UNIX领域内的说法，系统管理员账户(即安全限制最少的用户账户)通常称为root账户。这个特殊账户有时在字面上称为"root"，但是这种叫法更多的是历史习惯而不是规定。

"攻陷"一台电脑并取得该电脑的管理员权限称为root一台机器。取得root账户权限的攻击者就可以称他已经root了该机器。另外一种描述你已经root一台电脑的说法是你own(拥有)了它，这种说法的本意是指你可以对这台电脑为所欲为，因为你已经控制了这台机器。按照因特网上的说法，在标准的计算机键盘上，由于字母p和o毗邻，致使一些人用pwn代替own。

严格地说，你并不需要通过取得管理员账户权限来root电脑。root电脑的最终目的是取得与管理员同级别的原始访问权限。例如，在安装有Windows系统的机器中，SYSTEM账户表示操作系统本身，实际上SYSTEM账户比管理员组中的账户拥有更高的权限。如果你能攻陷一个运行在SYSTEM账户下的Windows程序，这和拥有管理员权限具有同样的效果(有过之而无不及)。事实上，有些人认为在SYSTEM账户下运行是非常高级的，因为追踪一个使用SYSTEM账户的入侵者极度困难，系统产生的日志条目如此之多，很难区分哪些是由攻击者产生的。

然而，root一台机器与保持访问权限有所区别(如同挣到一百万美元和保管一百万美元的区别)。有一些工具可以由有经验的系统管理员来用于发现入侵者，并将他们踢出被攻陷的机器。一些新取得权限而大肆声张的入侵者将会引起管理员的注意，失去他们的权限。对入侵者来说，关键是进入机器、取得权限、监控机器的状态，然后隐藏起来享受他们的劳动成果。

《计算机行话辞典》把rootkit定义为"能保持root权限的一套工具"。换句话说，

rootkit是由二进制代码、脚本和配置文件组成的集合体(例如，一套工具)，人们能够使用它隐秘地保持对计算机的访问权限，以便在不引起系统管理员注意的情况下命令、搜索数据。

设计良好的rootkit可以让一台被攻陷的机器看起来没有任何异常，并使攻击者在系统管理员的眼皮底下保持一个据点，而且他想待多久就待多久。

1.2.1?攻击循环

现在你可能会想："好吧，root机器及时步该干什么呢？"要回答这个问题所涉及的话题可能几本书都写不完。出于简洁的目的，我将提供一个简要概述(可能有些不)。

假定一个精准攻击的场景，大多数入侵者都会从搜集目标组织的概要情报开始。在这个攻击阶段中，将涉及信息筛选，例如筛选该组织的域名注册信息、分配的公共IP地址范围信息，也有可能要查阅证券交易委员会(Securities and Exchange Commission，SEC)的文件、年报和媒体信息以确定该组织办公地点的位置。

如果攻击者决定使用基于漏洞的方法进行攻击，他们将通过情报搜集初期发现的目标组织的因特网踪迹来枚举主机，主要的枚举方法有ping扫描或目标IP扫描，然后检查发现的每台存活主机运行的标准网络服务。因此，像nmap这样的工具就显得必不可少。

当攻击者识别到一台特定的计算机并搜集一系列监听服务后，将试图寻找获取shell访问的方法，使他能够执行任意的命令并可能进一步提升权限，甚至是取得root账户访问权限(虽然有时在运行Windows的机器上取得超级用户权限就足够了)。例如，受攻击的机器是网站服务器，攻击者可能对开发拙劣的网站应用程序发起结构化查询语言(Structured Query Language，SQL)注入攻击，以突破与其相关联的数据库服务器的安全防护。然后，他能够访问数据库服务器以获取管理员权限，或许root账户密码和数据库管理员密码是一样的呢？

基于漏洞的方法并不是的攻击方式，有无数的方式可以进行访问并获取权限。，一切都在于取得一些通往目标的接口(参见图1.1)，然后提升你的权限。

这个接口不一定是传统的命令行shell，它也有可能是攻击者设计的专用API。你可以通过装扮成修电脑的技术人员或通过肩窥(shoulder surfing)来建立接口。因此，用于root机器的工具范围很广：从社会工程学(例如鱼叉式网络钓鱼、恐吓性软件、假托电话等)，到密码蛮力破解、偷窃备份，再到像Joanna Rutkowska的"Evil Maid"之类的离线攻击。基于我个人的经验和同行们提供的信息，在大规模攻击中，软件漏洞和社会工程学是经常采用的两类入侵方法。

1.2.2?rootkit在攻击循环中的角色

rootkit通常在攻击循环的阶段发挥作用，这就是为什么称它们为post-exploit工具的原因。你一旦获得接口并(用某种方式)提升为root权限，接下来自然就是要保持已攻陷机器的访问权限(也称为驻扎场地或据点)，rootkit有助于实现持续性访问。至此，攻击者就可以从目标主机上挖掘有价值的信息了，如社会保险号、相关账户细节信息或者CVV2码(即完整信用卡号码、相应到期日期、账单地址以及3位数的保险码)。

或者，攻击者可以简单地运用当前据点来攻击目标网络内不能直接路由的其他机器，以扩大影响范围，这种行为叫做支点攻击(pivoting)，这种攻击有助于混淆入侵源(参见图1.2)。

注意，图1.2中的一步为何不属于支点攻击。我在本书的前言就解释过了，本书的侧重点是台式计算机，因为在很多情况下，攻击者通过攻击能够访问目标数据的客户机以取得所需信息。当你能够通过攻陷一些主管的台式计算机系统以取得同样的基本结果时，为什么还要花数天时间突破加固的企业级大型机的安全防护层呢？这是Pete的最爱，去摘树上低悬的水果！正如Richard Bejtlich所说："一旦没有了其他选择，攻击数据的最终点将落在对授权用户有用的地方"。

1.2.3?单级释放器与多级释放器

在目标机器上安装rootkit的方式各种各样，有时它被安装成一个由漏洞利用程序释放的载荷。在此载荷中有个特殊程序叫做释放器(dropper)，由它完成实际的安装任务(参见图1.3)。

释放器的作用很多，例如帮助rootkit通过网关安全扫描，释放器能够变换rootkit(例如对rootkit进行压缩、编码或者加密)，然后把rootkit封装成内部数据结构。当释放器最终执行时，它将释放(例如解压缩、解码、解密和安装)rootkit。表现良好的释放器事后会删除自身，只留下rootkit所需的内容。

多级释放器并不会将rootkit列为字节流的一部分，相反，它们将搭载在一些小程序上，例如定制的FTP客户端、浏览器插件或存根程序，这些程序存在的目的就是从远程网络上下载rootkit(参见图1.4)。在更极端的情况下，最初的存根程序可能会下载第二个更大的存根程序，然后第二个存根程序下载rootkit，通过两个独立的阶段完成rootkit的安装。

多级释放器的思想在于最小化释放器留下的取证证据数量。按这种方式，如果调查人员一旦发现一个未能恰当地触发并执行自毁的释放器，也无法分析你的rootkit代码。例如，他试图在一个独立的沙盒环境中运行释放器，但存根程序甚至无法下载rootkit。在最坏的案例场景中，存根程序将认识到那是个虚拟的环境而什么都不做。这个思路符合The Grugq的数据节育(data contraception)策略，我们将在本书的后面讲述这一点。

看过该图书的还看过

网友评论(不代表本站观点)

来自rentaor**的评论：

这个商品不错~

2014-08-01 10:21:59

来自无昵称**的评论：

产品和说明一样,学习用的,挺好.

2014-08-03 15:48:59

来自清忱tsi**的评论：

有点理论化，想了解大概原理还行

2014-08-26 18:58:41

来自无昵称**的评论：

这个商品不错~

2014-08-29 17:09:31

来自给儿子**的评论：

物流快，书正版，读书当当网是首选。

2014-09-01 10:46:24

来自无昵称**的评论：

这个商品不错~

2014-09-27 18:49:50

来自无昵称**的评论：

这个商品不错~

2014-09-28 18:43:11

来自SharpTi**的评论：

这个商品不错~

2014-10-27 12:55:45

来自tfzhang**的评论：

好书，难得的好书

2014-11-29 19:18:23

来自阿啵啵**的评论：

国内少有的好书，很实用。很充实。

2014-12-02 20:42:40

来自无昵称**的评论：

书质量不错

2014-12-03 15:57:55

来自无昵称**的评论：

不错

2014-12-12 10:49:57

来自无昵称**的评论：

讲得较好，是程序员提高编程水平的参考书。

2015-03-28 20:31:20

来自无昵称**的评论：

感觉很高深，慢慢看

2015-07-01 16:59:40

来自无昵称**的评论：

有用

2016-01-04 23:05:33

来自无昵称**的评论：

赞爆！

2016-05-14 10:28:48

来自无昵称**的评论：

很好，内容生动。

2016-05-16 07:07:07

来自无昵称**的评论：

书本来就好，活动的时候买性价比不错

2016-07-01 14:29:29

来自无昵称**的评论：

不错

2016-07-18 12:52:57

来自llkvy76**的评论：

??? ~?.

2016-07-26 09:13:17

来自匿名用**的评论：

不错的书籍

2017-04-05 14:23:28

来自匿名用**的评论：

很不错的书！

2017-04-29 11:30:27

来自xiaoyao**的评论：

不错，很喜欢！这些东西也是刚接触的，，需要学习啊

2013-11-30 08:50:22

来自千年鹰**的评论：

非常好，必须赞。系统中最核心的地方，值得深入研究。

2014-02-07 21:04:04

来自无昵称**的评论：

这本书算是行业比较新的了，看了肯定会受到一些启发的

2014-09-07 10:58:08

来自mkcharm**的评论：

专业书籍，值得好好研究。当然，在学习理论的同时，也要注意多动手体会。

2015-03-08 13:10:54

来自无昵称**的评论：

以前买过一本ROOTKIT的书籍，后面不慎遗失，深感可惜，看了此书，比以前看过的内容更丰富，值得好好研究学习。

2016-02-28 16:49:13

来自无昵称**的评论：

从事相关研究10余年，对rootkit有非常深入的研究。目前从事网络安全设备代码和ERP中间件的相关工作。活跃于计算机安全类社区，常与计算机安全领域多名世界级安全专家交流探讨。在学术生涯中走过不少弯路，因此对计算机安全有异于常人的观察角度和体会。

2015-05-14 11:12:53