內(nèi)容簡介
這是一部系統(tǒng)講解反匯編與逆向分析技術原理、流程、方法和實用技巧的著作。
本書第1版出版于2011年，10年來暢銷不衰，成為反匯編與逆向工程領域的標志性著作，被數(shù)十萬安全工程師和C++工程師奉為瑰寶。在全球?qū)W術界和企業(yè)界都享有盛譽，故第2版得到了全球15位安全技術專家的傾力推薦。第2版在技術、工具和案例等方面做了大量的更新和補充。
通過本書，你將掌握以下知識或技能：
?逆向分析技術的工具和原理；
?逆向分析技術的流程和方法；
?逆向分析技術的精髓和實用技巧；
?軟件調(diào)試的技術原理，以及代碼運行時的內(nèi)存表現(xiàn)；
?C++語法的實現(xiàn)機制和反匯編表現(xiàn)形式；
全書共18章，分為三個部分：
第1部分 準備工作 （第1章）
簡單地介紹了編譯器、調(diào)試器和反匯編靜態(tài)分析工具的使用方法以及反匯編引擎的工作原理；
第二部分C++反匯編揭秘（第2～13章）
以多種編譯器為例解析了每個C/C++知識點的匯編表現(xiàn)形式，通過整理反匯編代碼梳理流程和脈絡，講解了調(diào)試和識別各種C/C++語句的方法，并且深入剖析各知識點的底層機制；
第三部分 逆向分析技術應用（第14～18章）
通過對PEiD、調(diào)試器 OllyDbg、木馬、勒索病毒等實際應用的逆向分析，帶領讀者領路逆向分析技術的魔力，并加深對所學理論知識的理解。
（1）第1版影響深遠：第1版10年暢銷不衰，成為逆向工程領域標志性著作，口碑爆棚，影響數(shù)十萬安全工程師和C++工程師。（2）作者資歷深厚：作者是IT技術領域自學成才典范，有近20年安全技術研發(fā)和教育經(jīng)驗，深耕逆向分析技術、C++和系統(tǒng)編程。（3）本書5大用途：逆向分析技術工具和原理、逆向分析技術流程和方法、逆向分析技術精髓和實用技巧、軟件調(diào)試技術原理及代碼運行時內(nèi)存表現(xiàn)、C++語法的實現(xiàn)機制和反匯編表現(xiàn)形式。（4）全球?qū)＜伊λ]：武漢大學、華中科技大學、南京郵電大學的學術界專家力薦；騰訊、360、金山毒霸、桑坦德集團、中國電信、深信服的企業(yè)屆專家力薦；臺灣知名IT技術專家和教育家侯捷、看雪學院創(chuàng)始人段鋼力薦。
為什么要寫這本書
“時下的IDE很多都是極其優(yōu)秀的，拜其所賜，職場上的程序員多出十幾倍，但是又有多少人能理解程序內(nèi)部的機制呢？”
—侯捷
隨著軟件技術的發(fā)展及其在各個領域的廣泛應用，對軟件進行逆向分析，通過閱讀其反匯編代碼推斷數(shù)據(jù)結構、體系結構和程序設計思路的需求越來越多。逆向分析技術能幫助我們更好地研究和學習先進的軟件技術，特別是當我們非常想知道某個軟件的某些功能是如何實現(xiàn)的而手頭又沒有合適的資料時。
如果能夠利用逆向技術去研究一些一流軟件的設計思想和實現(xiàn)方法，那么我們的軟件技術水平將會得到極大的提升。目前，國內(nèi)關于逆向分析技術的資料實在不多，大中專院校的計算機相關專業(yè)對此技術也沒有足夠的重視。
有很多人認為研究程序的內(nèi)部原理會破壞“黑盒子”的封裝性，但是如果我們只是在別人搭建好的平臺上做開發(fā)，那么始終只能使用別人提供的未開源的SDK，會一直受牽制。如果我們能夠充分掌握逆向分析方法，就可以洞悉各種SDK的實現(xiàn)原理，學習各種一流軟件采用的先進技術，取長補短，為我所用。若能如此，實為我國軟件產(chǎn)業(yè)之幸。
我當初學習逆向技術時完全靠自學，且不說這方面的書籍，就連相關的文檔和資料也極度匱乏。在這種條件下，雖然很努力地鉆研，但學習進度非常緩慢，花費幾天幾夜分析一個軟件的關鍵算法是常有的事。如果當初能有一本全面講解反匯編與逆向分析技術的書，我不僅能節(jié)省很多時間和精力，還能少走很多彎路。因為有了這段經(jīng)歷，我斗膽爭先，決定將自己多年來在反匯編與逆向分析技術領域的經(jīng)驗和心得整理出來與大家分享，希望更多的開發(fā)人員在掌握這項技術后能更好地將其應用到軟件開發(fā)實踐中，從而提高我國軟件行業(yè)的整體水平。
讀者對象
無論大家從事哪個行業(yè)，在開始閱讀本書之前，都需要具備以下幾個方面的基礎知識。
數(shù)據(jù)結構的基礎知識，如棧結構存取元素的特點等。
匯編的基礎知識，如尋址方式和指令的使用等。
C/C++語言的基礎知識，如指針、虛函數(shù)和繼承的概念等。
熟悉Visual Studio 2019的常用功能，如觀察某變量的地址、單步跟蹤等。
具備了上面這些基礎知識，就可以根據(jù)自己的實際需求學習本書的內(nèi)容。
如果你是一位軟件研發(fā)人員，你將通過本書更深入地了解C++語法的實現(xiàn)機制，對產(chǎn)品知其然更知其所以然。在精讀反匯編代碼后，你的調(diào)試水平也會得到質(zhì)的提升。
如果你是一位反病毒分析人員或者電子證據(jù)司法取證分析人員，通過逆向分析惡意軟件樣本，你可以進行取證分析處理，例如，分析開發(fā)者的編寫習慣、推斷開發(fā)者的編程水平，甚至可以進一步判定某病毒樣本是否與其他病毒出自同一人之手。
如果你是一位高等院校計算機相關專業(yè)的學生（本科或本科以上），你可以通過學習書中的軟件逆向分析技術來拓展思路，為未來進軍軟件研發(fā)行業(yè)打下基礎。
第2版的更新內(nèi)容
重新設計了所有的示例。
所有的反匯編代碼均使用的Visual Studio 2019編譯器編譯。
增加的Clang編譯器反匯編代碼講解。
增加的GCC編譯器反匯編代碼講解。
增加所有主流編譯器64位程序反匯編代碼講解。
隨書文件增加所有示例單獨的源碼和所有編譯器編譯后的可執(zhí)行程序。
根據(jù)編譯器刪除了一些過時的內(nèi)容，增加了一些新的內(nèi)容。
增加和更新了病毒分析示例。
本書特色
我結合自己的學習經(jīng)歷和對C++反匯編與逆向分析技術的了解將全書劃分為三個部分。
部分 準備工作（第1章）
在軟件開發(fā)過程中，程序員會使用一些調(diào)試工具，以便高效地找出軟件中存在的錯誤。在逆向分析領域，分析者也要利用相關工具分析軟件行為，驗證分析結果。本書部分簡單介紹了幾款常用的逆向分析輔助工具和軟件。
第二部分 C++反匯編揭秘（第2～13章）
評估一位軟件開發(fā)者的能力，一是看設計能力，二是看調(diào)試水平。一般來說，大師級的程序員對軟件逆向分析技術都有深入的理解，他們在編寫高級語言代碼的同時，心里還會浮現(xiàn)對應的匯編代碼，在寫程序的時候就已經(jīng)非常了解終產(chǎn)品的模樣，達到了人機合一的境界，所以在調(diào)試Bug的時候游刃有余。逆向分析技術重在代碼的調(diào)試和分析，如果你本來就是一位技術不錯的程序員，學習這部分內(nèi)容就是對你“內(nèi)功”的鍛煉，這部分內(nèi)容可以幫助你徹底掌握C/C++各種特性的底層機制，不僅能做到知其然，還能知其所以然。這部分以C/C++語法為導向，以各編譯器為例，解析每個C/C++知識點的匯編表現(xiàn)形式，通過整理其反匯編代碼梳理流程和脈絡。這部分內(nèi)容重在講方法，授人以漁，不重劍招，但重劍意。
第三部分 逆向分析技術應用（第14～18章）
這是本書的后一部分，以理論與實踐相結合的方式，通過對具體程序的分析來加深大家對前面所學理論知識的理解，從而快速積累實戰(zhàn)經(jīng)驗。第14章分析了PE文件分析工具PEiD的工作原理，第15章分析了調(diào)試器OllyDbg的工作原理，第16章對大灰狼遠控木馬進行了逆向分析，第17章對WannaCry勒索病毒進行了逆向分析，第18章講解了反匯編代碼的重建與編譯。通過這部分內(nèi)容
作者簡介
錢林松
資深安全技術專家、軟件開發(fā)工程師和架構師。從事計算機安全和軟件開發(fā)工作近20年，實踐經(jīng)驗豐富，尤其精通軟件逆向分析技術，對C/C++技術和Windows的底層機制也有非常深入的研究。
武漢科銳軟件技術有限公司（國內(nèi)知名的安全教育機構）創(chuàng)始人，教學經(jīng)驗豐富，多年來，為國內(nèi)計算機安全領域培養(yǎng)和輸送了大量的人才�；钴S于看雪論壇，有較高的知名度和影響力。
張延清
軟件逆向教育專家，看雪論壇技術專家。2004年從事數(shù)控機床加工編程，2006年進入游戲編程及C/C++開發(fā)與逆向分析領域，2011年就職于武漢科銳軟件技術有限公司，任技術總監(jiān)兼授課老師。創(chuàng)立國內(nèi)首家Android軟件逆向分析教育課程體系，該課程體系被多家培訓教育機構采用。
科銳·安全實訓領軍者
科銳（www.51asm.com）創(chuàng)辦自2007年，一直專注于逆向分析人才培養(yǎng)，畢業(yè)學員逾千人，廣泛就業(yè)于各安全企業(yè)，從事技術與技術管理工作。科銳通過一套嚴格的科學考核體系，確保學員對每一個知識點的掌握，從而保證教學質(zhì)量，使每一個畢業(yè)學員都能符合企業(yè)的用人需求。真正實現(xiàn)以實踐為主的實訓理念，是我們終的實訓目標。
贊譽
序一
序二
序三
前言
部分 準備工作
第1章 熟悉工作環(huán)境和相關工具2
1.1 安裝Visual Studio 20192
1.2 安裝GCC6
1.3 調(diào)試工具OllyDbg12
1.4 調(diào)試工具x64dbg14
1.5 調(diào)試工具WinDbg15
1.6 反匯編靜態(tài)分析工具IDA17
1.7 反匯編引擎的工作原理22
1.8 本章小結27
第二部分 C++反匯編揭秘
第2章 基本數(shù)據(jù)類型的表現(xiàn)形式30
2.1 整數(shù)類型30
2.1.1 無符號整數(shù)30
2.1.2 有符號整數(shù)31
2.2 浮點數(shù)類型32
2.2.1 浮點數(shù)的編碼方式33
2.2.2 基本的浮點數(shù)指令35
2.3 字符和字符串43
2.3.1 字符的編碼43
2.3.2 字符串的存儲方式44
2.4 布爾類型45
2.5 地址、指針和引用46
2.5.1 指針和地址的區(qū)別46
2.5.2 各類型指針的工作方式47
2.5.3 引用56
2.6 常量60
2.6.1 常量的定義60
2.6.2 #define和const的區(qū)別62
2.7 本章小結65
第3章 認識啟動函數(shù)，找到用戶入口66
3.1 程序的真正入口66
3.2 了解VS2019的啟動函數(shù)66
3.3 main函數(shù)的識別70
3.4 本章小結71
第4章 觀察各種表達式的求值過程72
4.1 算術運算和賦值72
4.1.1 各種算術運算的工作形式72
4.1.2 算術結果溢出130
4.1.3 自增和自減131
4.2 關系運算和邏輯運算136
4.2.1 關系運算和條件跳轉的對應136
4.2.2 表達式短路137
4.2.3 條件表達式141
4.3 位運算149
4.4 編譯器使用的優(yōu)化技巧152
4.4.1 流水線優(yōu)化規(guī)則155
4.4.2 分支優(yōu)化規(guī)則158
4.4.3 高速緩存優(yōu)化規(guī)則159
4.5 一次算法逆向之旅159
4.6 本章小結164
第5章 流程控制語句的識別165
5.1 if語句165
5.2 if…else…語句168
5.3 用if構成的多分支流程174
5.4 switch的真相180
5.5 難以構成跳轉表的switch196
5.6 降低判定樹的高度201
5.7 do、while、for的比較206
5.8 編譯器對循環(huán)結構的優(yōu)化214
5.9 本章小結220
第6章 函數(shù)的工作原理221
6.1 棧幀的形成和關閉221
6.2 各種調(diào)用方式的考察222
6.3 使用ebp或esp尋址226
6.4 函數(shù)的參數(shù)230
6.5 函數(shù)的返回值232
6.6 x64調(diào)用約定235
6.7 本章小結238
第7章 變量在內(nèi)存中的位置和訪問方式239
7.1 全局變量和局部變量的區(qū)別239
7.2 局部靜態(tài)變量的工作方式247
7.3 堆變量252
7.4 本章小結256
第8章 數(shù)組和指針的尋址257
8.1 數(shù)組在函數(shù)內(nèi)257
8.2 數(shù)組作為參數(shù)266
8.3 數(shù)組作為返回值270
8.4 下標尋址和指針尋址276
8.5 多維數(shù)組282
8.6 存放指針類型數(shù)據(jù)的數(shù)組288
8.7 指向數(shù)組的指針變量290
8.8 函數(shù)指針296
8.9 本章小結299
第9章 結構體和類300
9.1 對象的內(nèi)存布局300
9.2 this指針305
9.3 靜態(tài)數(shù)據(jù)成員311
9.4 對象作為函數(shù)參數(shù)314
9.5 對象作為返回值322
9.6 本章小結329
第10章 構造函數(shù)和析構函數(shù)331
10.1 構造函數(shù)的出現(xiàn)時機331
10.2 每個對象是否都有默認的構造函數(shù)353
10.3 析構函數(shù)的出現(xiàn)時機355
10.4 本章小結375
第11章 虛函數(shù)377
11.1 虛函數(shù)的機制377
11.2 虛函數(shù)的識別383
11.3 本章小結389
第12章 從內(nèi)存角度看繼承和多重繼承391
12.1 識別類和類之間的關系392
12.2 多重繼承418
12.3 抽象類426
12.4 虛繼承428
12.5 本章小結443
第13章 異常處理445
13.1 異常處理的相關知識445
13.2 異常類型為基本數(shù)據(jù)類型的處理流程451
13.3 異常類型為對象的處理流程459
13.4 識別異常處理464
13.5 x64異常處理475
13.5.1 RUNTIME_FUNCTION結構476
13.5.2 UNWIND_INFO結構476
13.5.3 UNWIND_CODE結構478
13.5.4 特定于語言的處理程序478
13.5.5 x64 FuncInfo的變化479
13.5.6 還原x64的try…catch481
13.6 本章小結484
第三部分 逆向分析技術應用
第14章 PEiD的工作原理分析486
14.1 開發(fā)環(huán)境的識別486
14.2 開發(fā)環(huán)境的偽造494
14.3 本章小結497
第15章 調(diào)試器OllyDbg的工作原理分析498
15.1 INT3斷點498
15.2 內(nèi)存斷點503
15.3 硬件斷點507
15.4 異常處理機制513
15.5 加載調(diào)試程序519
15.6 本章小結522
第16章 大灰狼遠控木馬逆向分析523
16.1 調(diào)試環(huán)境配置523
16.2 病毒程序初步分析524
16.3 啟動過程分析525
16.4 通信協(xié)議分析532
16.5 遠控功能分析536
16.6 本章小結551
第17章 WannaCry勒索病毒逆向分析552
17.1 tasksche.exe勒索程序逆向分析552
17.1.1 病毒初始化552
17.1.2 加載病毒核心代碼558
17.1.3 病毒核心代碼562
17.2 mssecsvc.exe蠕蟲程序逆向分析569
17.2.1 蠕蟲病毒代碼初始化569
17.2.2 發(fā)送漏洞攻擊代碼573
17.3 永恒之藍MS17-010漏洞原理分析577
17.3.1 漏洞1利用分析577
17.3.2 漏洞2利用分析583
17.3.3 漏洞3利用分析584
17.4 本章小結586
第18章 反匯編代碼的重建與編譯587
18.1 重建反匯編代碼587
18.2 編譯重建后的反匯編代碼590
18.3 本章小結591
參考文獻592
書單推薦
