第1章 再談計算機內存訪問 11.1 引言 11.2 內存管理概述 11.2.1 虛擬內存 11.2.2 CPU工作模式 21.2.3 邏輯、綫性和物理地址 31.2.4 存儲器分頁管理機製 31.2.5 綫性地址到物理地址的轉換 41.3 虛擬內存訪問 51.3.1 獲取係統信息 51.3.2 在應用程序中使用虛擬內存 61.3.3 獲取虛存狀態 71.3.4 確定虛擬地址空間的狀態 81.3.5 改變內存頁麵保護屬性 91.3.6 進行一個進程的內存讀寫 101.4 文件的內存映射 111.4.1 內存映射API函數 111.4.2 用內存映射在多個應用程序之間共享數據 131.4.3 用內存映射文件讀取大型文件 181.5 深入認識指針的真正含義 211.5.1 指針的真正本質 211.5.2 用指針進行應用程序之間的通信 221.6 本章小結 26參考文獻 27第2章 再談PE文件結構 282.1 引言 282.2 PE文件格式概述 282.2.1 PE文件結構布局 282.2.2 PE文件內存映射 302.2.3 Big-endian和Little-endian 312.2.4 3種不同的地址 312.3 PE文件結構 322.3.1 MS-DOS頭部 322.3.2 IMAGE_NT_HEADER頭部 332.3.3 IMAGE_SECTION_HEADER頭部 362.4 如何獲取PE文件中的OEP 362.4.1 通過文件讀取OEP值 372.4.2 通過內存映射讀取OEP值 382.4.3 讀取OEP值方法的測試 392.5 PE文件中的資源 402.5.1 查找資源在文件中的起始位置 402.5.2 確定PE文件中的資源 412.6 一個修改PE可執行文件的完整實例 432.6.1 如何獲得MessageBoxA代碼 432.6.2 把MessageBoxA()代碼寫入PE文件的完整實例 452.7 本章小結 53參考文獻 53第3章 進程之間通信概述及初級技術 543.1 引言 543.2 進程通信概述 553.2.1 Windows進程間標準通信技術的發展 553.2.2 應用程序與進程 563.2.3 進程之間通信的類型 563.3 使用自定義消息通信 573.3.1 通過自定義消息實現進程間通信的方法 573.3.2 通過自定義消息實現進程間通信的實例 583.4 使用WM_COPYDATA消息通信 603.4.1 通過WM_COPYDATA消息實現進程間通信的方法 603.4.2 通過WM_COPYDATA消息實現進程間通信的實例 613.5 使用內存讀寫函數和內存映射文件通信 623.5.1 使用內存映射文件通信的方法 623.5.2 使用內存讀寫函數實現進程間通信的方法 623.5.3 使用內存讀寫函數實現進程間通信的實例 633.6 使用動態鏈接庫通信 643.6.1 DLL概述 643.6.2 使用DLL通信的方法 653.6.3 使用DLL通信的實例 663.7 使用Windows剪貼闆通信 673.7.1 使用剪貼闆實現進程間通信的方法 683.7.2 使用剪貼闆實現進程間通信的實例 683.8 使用動態數據交換（DDE）通信 703.8.1 使用DDE技術通信原理 703.8.2 如何使用DDEML編寫程序 713.8.3 使用DDE通信的實例 723.9 本章小結 77參考文獻 77第4章 使用消息管道、郵槽和套接字通信 784.1 引言 784.2 如何用命名管道進行進程間通信 784.2.1 命名管道函數 794.2.2 命名管道服務端與客戶端之間通信的實現流程 804.2.3 命名管道服務端與客戶端之間通信的實例 814.3 如何用郵槽進行進程間通信 854.3.1 用郵槽進行進程間通信的步驟 854.3.2 郵槽服務器端與客戶端之間通信的實例 864.4 如何用Windows套接字進行進程間通信 904.4.1 套接字分類 904.4.2 流式套接字編程流程 914.4.3 套接字調用基本函數 924.4.4 Winsock程序設計 954.4.5 一個通用套接字類 964.4.6 套接字服務器端與客戶端間通信的實例 1014.5 本章小結 106參考文獻 106第5章 使用LPC和RPC通信 1075.1 引言 1075.2 接口定義語言（IDL）簡介 1075.3 使用本地過程調用（LPC）通信 1085.3.1 使用LPC通信方法介紹 1085.3.2 使用LPC通信的實例 1105.4 使用遠程過程調用（RPC）通信 1175.4.1 RPC運行機製 1175.4.2 RPC 綁定模式和屬性 1185.4.3 RPC傳輸（Transport） 1185.4.4 如何編寫RPC應用程序 1195.4.5 使用RPC通信的實例 1205.5 本章小結 128參考文獻 128第6章 使用組件模型通信 1296.1 引言 1296.2 COM/DCOM模型概述 1296.2.1 COM/DCOM的特點 1296.2.2 COM/DCOM組件模型分類 1306.3 使用組件對象模型（COM/DCOM）通信 1316.3.1 使用COM/DCOM通信方法介紹 1316.3.2 基於DCOM實現遠程會話的實例 1366.4 本章小結 147參考文獻 147第7章 進程的創建、控製和隱藏 1487.1 引言 1487.2 常見的幾種創建進程的方法 1487.2.1 使用WinExec() 函數 1487.2.2 使用ShellExecute()和ShellExecuteEx()函數 1497.2.3 使用CreateProcess()函數 1517.2.4 使用OLE激活服務程序 1547.3 如何獲得進程句柄 1557.3.1 獲得一個進程的句柄 1557.3.2 提升進程權限級彆 1567.4 如何實現當前進程的枚舉 1587.4.1 通過係統快照實現當前進程的枚舉 1587.4.2 通過psapi.dll提供的API函數實現當前進程的枚舉 1607.4.3 通過wtsapi32.dll提供的API函數實現當前進程的枚舉 1627.4.4 通過ntdll.dll提供的API函數實現當前進程的枚舉 1637.5 如何終止進程 1647.5.1 如何終止本進程 1657.5.2 如何終止外部進程 1657.5.3 終止進程的實例 1657.6 如何隱藏進程（注入代碼） 1667.6.1 基本原理 1667.6.2 使用CreateRemoteThread()隱藏DLL 1677.6.3 使用CreateRemoteThread()直接注入API函數代碼 1737.6.4 使用Windows內存映射文件注入代碼 1747.6.5 使用特洛伊DLL注入代碼 1747.6.6 使用注冊錶注入DLL 1757.6.7 使用程序掛鈎的方法注入代碼 1757.7 本章小結 175參考文獻 176第8章 應用程序的靜態掛鈎 1778.1 引言 1778.2 使用C/C++語言提取可執行程序代碼 1778.2.1 在C/C++中使用內聯匯編 1778.2.2 如何使用C/C++語言提取可執行程序代碼 1798.3 如何對PE文件加殼 1828.3.1 PE文件的加殼方法 1828.3.2 嚮PE文件中靜態注入代碼的完整實例 1838.4 如何實現文件脫殼 1918.5 本章小結 192參考文獻 192第9章 應用程序的動態掛鈎 1939.1 動態掛鈎概述 1939.2 使用Windows鈎子函數掛鈎 1949.2.1 Windows鈎子函數 1949.2.2 具體實例 1959.3 替換原API函數入口掛鈎 1989.3.1 如何替換原API函數入口實現掛鈎 1989.3.2 通用的替換原API函數入口掛鈎類 1999.3.3 使用JMP法編寫的掛鈎實例 2019.4 替換IAT中的函數地址進行掛鈎 2029.4.1 如何替換IAT中的函數地址實現掛鈎 2029.4.2 通用的替換IAT中的函數地址掛鈎類 2039.4.3 使用IAT法編寫的掛鈎實例 2079.5 替換Windows消息處理函數實現掛鈎 2089.5.1 Windows消息處理函數及其替換 2099.5.2 替換Windows消息處理函數實現掛鈎的實例 2109.6 鈎子DLL文件的裝載 2149.7 本章小結 216參考文獻 216第10章 數據的編碼和解碼實例 21710.1 引言 21710.2 遊程編碼 21810.2.1 CX遊程壓縮方法 21810.2.2 BI_RLE8壓縮方法 21810.2.3 BI_RLE壓縮方法 21810.2.4 縮位壓縮方法（Packbits） 21910.3 Huffman編碼 21910.3.1 Huffman編碼原理 21910.3.2 Huffman編碼過程 22010.4 算術編碼 22110.4.1 算術編碼算法 22110.4.2 算術解碼算法 22210.5 LZW壓縮算法 22210.5.1 LZW壓縮算法原理 22310.5.2 用VC++實現LZW壓縮算法 22510.6 Base64編碼 23610.6.1 Base64算法原理 23610.6.2 Base64算法的實現 23810.7 本章小結 241參考文獻 242第11章 可執行文件的捆綁和分離 24311.1 引言 24311.2 捆綁方式分類 24311.2.1 結閤式捆綁 24311.2.2 功能式捆綁 24511.3 文件捆綁相關技術 24511.3.1 文件捆綁工具及實現 24511.3.2 木馬程序與捆綁 24611.3.3 文件自身操作特點分析 24611.4 文件屬性的獲取和僞裝 24811.4.1 文件屬性的獲取和更改 24811.4.2 一個獲取文件基本屬性類 24911.4.3 可執行程序自刪除的實現 25111.4.4 如何獲取其他應用程序的圖標 25411.4.5 如何改變窗口的圖標 25511.5 被捆綁文件分離後的運行及自分解文件原理 25611.5.1 異步執行分解法的實現 25611.5.2 同步執行分解法的實現 25611.5.3 自動分解法的實現 25711.6 一個捆綁機（BindHider）軟件的設計 25811.6.1 BindHider的設計 25811.6.2 BindHider的源代碼 25911.7 一種製作自分解文件的方法 26311.7.1 母體程序的製作 26411.7.2 自分解文件的製作 26611.8 本章小結 267參考文獻 268第12章 可執行文件的分割和閤並 26912.1 引言 26912.2 文件分割方式 26912.2.1 考慮文件格式的分割 26912.2.2 設置子文件大小的分割 27012.2.3 具有自閤並功能的文件分割 27112.2.4 依賴文件存放位置的分割 27112.2.5 依賴磁盤大小的分割 27112.3 如何使用多綫程 27212.3.1 綫程的創建和終止 27212.3.2 綫程的控製函數 27312.3.3 綫程的通信 27312.4 文件的簡單分割與閤並 27412.4.1 文件的簡單分割 27412.4.2 文件的簡單閤並 27512.5 用多綫程進行文件的分割與閤並的實例 27712.5.1 文件的分割與閤並方案設計 27712.5.2 用多綫程進行文件分割 27912.5.3 用多綫程進行文件閤並 28212.6 分割後文件自動閤並的方案設計 28612.6.1 控製程序的製作 28612.6.2 用於文件自閤並的控製程序的製作 28712.6.3 一種生成自閤並文件的分割軟件製作 28912.7 本章小結 292參考文獻 292第13章 多綫程下載和斷點續傳 29313.1 引言 29313.2 使用FTP進行多綫程下載和斷點續傳 29313.2.1 FTP協議簡介 29313.2.2 FTP的工作模式 29513.2.3 FTP協議多綫程下載和斷點續傳的實現 29513.2.4 實例 30613.3 使用HTTP進行多綫程下載和斷點續傳 30713.3.1 HTTP協議簡介 30713.3.2 HTTP協議的內部操作過程 30813.3.3 HTTP協議多綫程下載和斷點續傳的實現 31113.3.4 實例 32113.4 BT下載簡介 32313.4.1 BT下載與一般下載的區彆 32313.4.2 BT種子 32413.4.3 BT的下載過程 32413.5 本章小結 324參考文獻 325第14章 帶附件的電子郵件發送剖析 32614.1 引言 32614.2 電子郵件的發送方法 32614.3 用WinSock實現SMTP協議 32714.3.1 SMTP協議 32714.3.2 SMTP的實現 32814.4 郵件格式化 33514.4.1 郵件主體格式化 33514.4.2 郵件附件格式化 33814.4.3 郵件格式化 34114.5 發送電子郵件實例 34614.6 本章小結 347參考文獻 347第15章 特洛伊木馬與反木馬技術 34815.1 引言 34815.2 常見的木馬種類 34915.3 木馬的載入方式 35015.4 木馬采用的僞裝方法 35115.5 Windows 2K/XP中無法刪除文件的常用解決辦法 35215.6 一種木馬病毒的檢測技術 35315.7 本章小結 358參考文獻 359
· · · · · · (收起)