部分軟件安全引論
第1章軟件安全概述31.1軟件安全的重要性3
1.1.1軟件的作用與軟件安全3
1.1.2安全威脅的形勢與軟件安全4
1.1.3對軟件安全的重視6
1.2軟件安全的概念6
1.2.1軟件安全的定義6
1.2.2軟件的安全屬性7
1.3軟件安全問題9
1.3.1軟件漏洞9
1.3.2惡意軟件10
1.3.3軟件侵權(quán)12
1.3.4軟件后門13
1.4軟件安全技術(shù)與標(biāo)準(zhǔn)14
1.4.1軟件安全開發(fā)技術(shù)14
1.4.2軟件安全防護(hù)技術(shù)15
1.4.3軟件安全的相關(guān)標(biāo)準(zhǔn)15
1.5白帽子與黑帽子16
1.5.1黑白有別16
1.5.2白帽子的重要性17
1.6實(shí)例分析18
羅賓漢勒索軟件事件實(shí)例18
1.7本章小結(jié)19
【思考與實(shí)踐】19第二部分軟件安全開發(fā)
第2章軟件安全開發(fā)周期232.1軟件安全開發(fā)過程23
2.2軟件安全開發(fā)模型25
2.2.1微軟公司的SDL模型25
2.2.2OWASP的SAMM模型29
2.2.3McGraw的BSI模型33
2.2.4SEI的TSP�睸ecure模型36
2.3實(shí)例分析37
某醫(yī)療行業(yè)軟件安全開發(fā)方案實(shí)例37
2.4本章小結(jié)38
【思考與實(shí)踐】38
〖3〗軟件安全技術(shù)目錄〖3〗第3章軟件安全分析與設(shè)計(jì)40
3.1軟件安全需求分析40
3.1.1安全需求分析的方法40
3.1.2攻擊用例42
3.2軟件安全設(shè)計(jì)44
3.2.1安全設(shè)計(jì)的內(nèi)容與原則44
3.2.2安全設(shè)計(jì)的方法與模式48
3.2.3威脅建模51
3.3實(shí)例分析53
3.3.1軟件安全需求分析實(shí)例53
3.3.2軟件威脅建模實(shí)例56
3.4本章小結(jié)60
【思考與實(shí)踐】60
第4章安全編程61
4.1安全編程概述61
4.1.1安全編程原則61
4.1.2安全編程環(huán)境62
4.1.3編程語言安全性65
4.2基本安全編程67
4.2.1輸入安全67
4.2.2異常處理安全70
4.2.3內(nèi)存安全73
4.2.4線程與進(jìn)程安全76
4.3數(shù)據(jù)安全編程82
4.3.1加密算法安全82
4.3.2密鑰安全86
4.4應(yīng)用安全編程88
4.4.1權(quán)限控制安全88
4.4.2遠(yuǎn)程調(diào)用安全89
4.4.3面向?qū)ο髴?yīng)用的安全編程92
4.4.4Web應(yīng)用的安全編程93
4.5實(shí)例分析95
4.5.1Web應(yīng)用登錄模塊的安全編程實(shí)例95
4.5.2某教務(wù)管理系統(tǒng)權(quán)限管理的安全編程實(shí)例96
4.6本章小結(jié)98
【思考與實(shí)踐】99
第5章軟件安全測試101
5.1軟件安全測試的內(nèi)容101
5.2軟件安全測試的方法103
5.3靜態(tài)的軟件安全測試104
5.3.1代碼安全審查104
5.3.2靜態(tài)代碼分析105
5.4滲透測試106
5.4.1滲透測試過程106
5.4.2滲透測試工具108
5.4.3滲透測試與法律道德109
5.5模糊測試110
5.5.1模糊測試原理110
5.5.2模糊測試技術(shù)112
5.5.3模糊測試工具114
5.6實(shí)例分析115
某投資咨詢公司系統(tǒng)的滲透測試實(shí)例115
5.7本章小結(jié)116
【思考與實(shí)踐】116
第三部分軟件漏洞問題及防治
第6章軟件漏洞概述1196.1軟件漏洞的定義119
6.2軟件漏洞的成因與后果120
6.2.1軟件漏洞的成因120
6.2.2軟件漏洞被利用的后果122
6.3軟件漏洞的分類與分級123
6.3.1軟件漏洞的分類123
6.3.2軟件漏洞的分級125
6.4軟件漏洞的管控126
6.4.1軟件漏洞管控的必要性126
6.4.2軟件漏洞管理的標(biāo)準(zhǔn)126
6.5實(shí)例分析127
6.5.1區(qū)塊鏈API鑒權(quán)漏洞事件實(shí)例127
6.5.2Zerologon高危漏洞事件實(shí)例129
6.6本章小結(jié)129
【思考與實(shí)踐】130
第7章軟件漏洞機(jī)理131
7.1內(nèi)存漏洞131
7.1.1內(nèi)存漏洞概述131
7.1.2棧溢出漏洞機(jī)理131
7.1.3堆溢出漏洞機(jī)理134
7.1.4格式化串漏洞機(jī)理136
7.1.5釋放后重用漏洞機(jī)理138
7.2Web應(yīng)用程序漏洞139
7.2.1Web應(yīng)用程序漏洞概述139
7.2.2SQL注入漏洞機(jī)理140
7.2.3跨站腳本漏洞機(jī)理143
7.2.4跨站請求偽造漏洞機(jī)理146
7.3操作系統(tǒng)內(nèi)核漏洞148
7.3.1操作系統(tǒng)內(nèi)核概述148
7.3.2提權(quán)漏洞機(jī)理148
7.3.3驗(yàn)證繞過漏洞機(jī)理149
7.4實(shí)例分析150
7.4.1內(nèi)存漏洞源碼實(shí)例150
7.4.2某設(shè)備管控系統(tǒng)的漏洞檢測實(shí)例153
7.4.3Windows本地提權(quán)漏洞實(shí)例155
7.4.4Android簽名驗(yàn)證繞過漏洞實(shí)例158
7.5本章小結(jié)161
【思考與實(shí)踐】161
第8章軟件漏洞防治163
8.1軟件漏洞防范概述163
8.2軟件漏洞防護(hù)機(jī)制164
8.2.1數(shù)據(jù)執(zhí)行保護(hù)164
8.2.2地址空間布局隨機(jī)化165
8.2.3安全結(jié)構(gòu)化異常處理166
8.2.4棧溢出檢測的編譯選項(xiàng)167
8.3漏洞挖掘168
8.3.1漏洞挖掘概述168
8.3.2基于源碼的靜態(tài)漏洞分析169
8.3.3基于二進(jìn)制碼的靜態(tài)漏洞分析171
8.3.4基于二進(jìn)制碼的動(dòng)態(tài)漏洞分析174
8.4實(shí)例分析177
8.4.1Windows漏洞防護(hù)技術(shù)應(yīng)用實(shí)例177
8.4.2基于模糊測試的二進(jìn)制碼漏洞檢測實(shí)例178
8.5本章小結(jié)181
【思考與實(shí)踐】181
第四部分惡意軟件問題及防治
第9章惡意代碼概述1859.1惡意代碼的定義185
9.2惡意代碼的類型及特征185
9.2.1病毒185
9.2.2蠕蟲190
9.2.3木馬192
9.2.4勒索軟件194
9.2.5Rootkit196
9.2.6發(fā)展趨勢197
9.3惡意代碼的管控199
9.3.1惡意代碼的相關(guān)法律法規(guī)199
9.3.2惡意代碼的防治管理201
9.4實(shí)例分析201
9.4.1GandCrab勒索軟件實(shí)例201
9.4.2Scranos Rootkit實(shí)例202
9.5本章小結(jié)204
【思考與實(shí)踐】204
第10章惡意軟件的機(jī)理206
10.1可執(zhí)行文件206
10.1.1可執(zhí)行文件的類型206
10.1.2PE文件格式207
10.1.3可執(zhí)行文件的生成210
10.1.4系統(tǒng)引導(dǎo)與應(yīng)用程序執(zhí)行212
10.2PE病毒的機(jī)理213
10.2.1PE病毒的基本結(jié)構(gòu)213
10.2.2PE病毒的工作機(jī)制214
10.3蠕蟲的機(jī)理216
10.3.1蠕蟲的基本結(jié)構(gòu)216
10.3.2蠕蟲的工作機(jī)制217
10.4木馬的機(jī)理217
10.4.1木馬的基本結(jié)構(gòu)217
10.4.2木馬的工作機(jī)制217
10.5Rootkit的機(jī)理218
10.5.1Rootkit的基本結(jié)構(gòu)218
10.5.2Rootkit的工作機(jī)制219
10.6實(shí)例分析220
10.6.1構(gòu)造可執(zhí)行PE文件實(shí)例220
10.6.2灰鴿子木馬機(jī)理實(shí)例223
10.7本章小結(jié)225
【思考與實(shí)踐】225
第11章惡意代碼防治227
11.1惡意代碼逆向分析技術(shù)227
11.1.1靜態(tài)逆向分析技術(shù)227
11.1.2靜態(tài)逆向分析工具IDA228
11.1.3動(dòng)態(tài)逆向分析技術(shù)230
11.1.4動(dòng)態(tài)調(diào)試工具OD232
11.2基本的惡意代碼檢測技術(shù)235
11.2.1特征值檢測235
11.2.2校驗(yàn)和檢測237
11.2.3基于虛擬機(jī)的檢測238
11.3基于人工智能的惡意代碼檢測240
11.3.1惡意代碼智能檢測技術(shù)概述240
11.3.2主流平臺(tái)上的惡意代碼智能檢測技術(shù)241
11.4實(shí)例分析244
11.4.1基于IDA工具的靜態(tài)逆向分析實(shí)例244
11.4.2基于OD工具的動(dòng)態(tài)逆向分析實(shí)例246
11.5本章小結(jié)249
【思考與實(shí)踐】249
第五部分軟件侵權(quán)問題及權(quán)益保護(hù)
第12章軟件侵權(quán)問題25312.1軟件知識產(chǎn)權(quán)與法律253
12.1.1軟件知識產(chǎn)權(quán)253
12.1.2開源軟件許可證254
12.1.3開源軟件與知識產(chǎn)權(quán)保護(hù)256
12.1.4軟件知識產(chǎn)權(quán)的相關(guān)法律257
12.2軟件侵權(quán)問題概述260
12.3實(shí)例分析261
Oracle公司訴Google公司Java侵權(quán)案實(shí)例261
12.4本章小結(jié)262
【思考與實(shí)踐】262
第13章軟件權(quán)益保護(hù)技術(shù)264
13.1軟件權(quán)益保護(hù)概述264
13.2軟件版權(quán)保護(hù)技術(shù)265
13.2.1用戶合法性驗(yàn)證265
13.2.2軟件校驗(yàn)271
13.2.3演示版限制使用272
13.2.4云計(jì)算SaaS模式下的軟件版權(quán)保護(hù)273
13.3軟件防破解技術(shù)274
13.3.1軟件破解與防破解274
13.3.2代碼混淆276
13.3.3程序加殼281
13.3.4軟件水印281
13.3.5防調(diào)試282
13.4實(shí)例分析284
13.4.1微信云開發(fā)模式下的軟件版權(quán)保護(hù)實(shí)例284
13.4.2Android App防破解實(shí)例285
13.5本章小結(jié)288
【思考與實(shí)踐】289
參考文獻(xiàn)290