Rootkits: Subverting the Windows Kernel (Addison-Wesley Software Security Series)

«روت‌کیت‌ها: تسخیر هستهٔ ویندوز» (Rootkits: Subverting the Windows Kernel) نوشتهٔ گرگ هاگلند و جیمز باتلر، اولین راهنمای جامع و مرجعی بی‌نظیر برای درک عمیق روت‌کیت‌ها، این پنهان‌ترین و خطرناک‌ترین ابزارهای نفوذ در جهان امنیت سایبری است. این کتاب که حاصل سال‌ها تجربهٔ عملی نویسندگان در زمینهٔ امنیت نرم‌افزار و توسعهٔ هسته است، پرده از تکنیک‌های پنهان‌کاری برمی‌دارد که هکرها برای دسترسی نامحدود و تقریباً غیرقابل‌تشخیص به سیستم‌های قربانی از آن استفاده می‌کنند. هاگلند و باتلر در این اثر نشان می‌دهند که چگونه می‌توان از این دانش برای ساخت ابزارهای امنیتی «کلاه‌سفید» و همچنین شناسایی حملات استفاده کرد.

دربارهٔ کتاب روت‌کیت‌ها: تسخیر هستهٔ ویندوز

کتاب «روت‌کیت‌ها: تسخیر هستهٔ ویندوز» که توسط انتشارات Addison-Wesley Professional در سال ۲۰۰۵ منتشر شده است، به عنوان اولین کتاب جامع در نوع خود، به تشریح چیستی روت‌کیت‌ها، نحوهٔ کارکرد، روش‌های ساخت و تکنیک‌های تشخیص آن‌ها می‌پردازد. نویسندگان که خالق و مدرس دورهٔ افسانه‌ای «بلک هت» در زمینهٔ روت‌کیت هستند، جنبه‌های تهاجمی این فناوری را که پیش‌تر هرگز فاش نشده بود، به تصویر می‌کشند و نشان می‌دهند که مهاجمان چگونه می‌توانند بدون آن‌که شناسایی شوند، سال‌ها به سیستم نفوذ کرده و در آن باقی بمانند. این کتاب با تمرکز بر نحوهٔ تسخیر هستهٔ ویندوزهای XP و ۲۰۰۰، مفاهیمی را آموزش می‌دهد که به‌راحتی برای هر سیستم‌عامل مدرنی از ویندوز سرور ۲۰۰۳ گرفته تا لینوکس و یونیکس قابل‌استفاده است. این اثر صرفاً یک کتاب نظری نیست، بلکه با ارائهٔ مثال‌های عملی و کدهای قابل‌دانلود، تکنیک‌های برنامه‌نویسی روت‌کیت را برای طیف گسترده‌ای از نرم‌افزارها، از ابزارهای امنیتی «کلاه‌سفید» گرفته تا درایورهای سیستمعامل و دیباگرها، آموزش می‌دهد. نویسندگان با بهره‌گیری از مفاهیمی مانند قلاب‌زنی (Hooking)، وصلهٔ زمان اجرا (Runtime Patching) و دستکاری مستقیم اشیاء هسته (DKOM)، نشان می‌دهند که چگونه می‌توان فرایندها، فایل‌ها و دایرکتوری‌ها را برای ناظران سیستم نامرئی کرد و به یک «در پشتی» (Backdoor) قدرتمند دست یافت. ساختار فنی و دقیق کتاب، آن را به منبعی ضروری برای هر پژوهشگر یا برنامه‌نویس امنیتی تبدیل کرده است.

دربارهٔ نویسنده

گرگ هاگلند (Greg Hoglund) یکی از پیشگامان حوزهٔ امنیت نرم‌افزار و مدیرعامل شرکت HBGary است. او پس از نوشتن یکی از اولین اسکنرهای آسیب‌پذیری شبکه که در بیش از نیمی از شرکت‌های فهرست فورچون ۵۰۰ نصب شد، نخستین روت‌کیت مبتنی بر ویندوز ان‌تی را ایجاد و مستندسازی کرد و وب‌سایت rootkit.com را بنیان نهاد. هاگلند سخنران مکرر در کنفرانس‌های معتبر امنیتی نظیر بلک هت و آر اس ای است. جیمز باتلر (James Butler) نیز مدیر مهندسی در HBGary و دارای استعداد بی‌نظیری در برنامه‌نویسی هسته و توسعهٔ روت‌کیت است. او توسعه‌دهندهٔ سیستم تشخیص و پزشکی قانونی روت‌کیت به نام VICE بوده و سابقهٔ کار به عنوان دانشمند رایانه در آژانس امنیت ملی (NSA) را در کارنامه دارد. باتلر مدرک کارشناسی ارشد خود را از دانشگاه مریلند دریافت کرده و مقالات متعددی در نشریات معتبری همچون IEEE و Phrack به چاپ رسانده است.

چرا باید روت‌کیت‌ها: تسخیر هستهٔ ویندوز را بخوانید؟

• مرجعی جامع و پیشگامانه: این کتاب به عنوان اولین و جامع‌ترین منبع در نوع خود، تمامی جنبه‌های روت‌کیت‌ها را از مفاهیم پایه تا پیشرفته‌ترین تکنیک‌های تهاجمی پوشش می‌دهد و آن را به منبعی منحصربه‌فرد تبدیل کرده است.
• آموزش تکنیک‌های عملی و پیشرفته: نویسندگان با ارائهٔ مثال‌های عملی و کدهای قابل اجرا، تکنیک‌هایی چون قلاب‌زنی، وصلهٔ زمان اجرا و دستکاری مستقیم اشیاء هسته را به طور کامل آموزش می‌دهند که برای ساخت ابزارهای امنیتی و درک حملات ضروری است.
• درک عمیق از دیدگاه مهاجم: کتاب با افشای جنبه‌های پنهان فناوری روت‌کیت، به خواننده امکان می‌دهد تا مانند یک مهاجم فکر کند و نقاط ضعف سیستم را بهتر بشناسد تا بتواند از آن دفاع کند.
• کاربرد فراتر از ویندوز: اگرچه تمرکز اصلی بر روی ویندوز است، اما مفاهیم بنیادین آموزش‌داده‌شده در این کتاب برای تقریباً تمامی سیستم‌عامل‌های مدرن قابل‌تعمیم است.
• تأییدیه از بزرگترین کارشناسان حوزه: کتاب مورد تحسین چهره‌های شاخصی مانند مارک روسینوویچ (ویراستار Windows IT Pro) و گری مک‌گرا (مدیرعامل Cigital) قرار گرفته که آن را به عنوان یک منبع «استثنایی» و «به‌روز» معرفی کرده‌اند.

این کتاب برای چه کسانی مناسب است؟

این کتاب برای طیف گسترده‌ای از متخصصان حوزهٔ فناوری اطلاعات و امنیت سایبری طراحی شده است. متخصصان امنیت، مدیران سیستم‌های ویندوز و برنامه‌نویسانی که به دنبال درک عمیق تکنیک‌های مورد استفاده نویسندگان روت‌کیت هستند، این کتاب را منبعی ضروری و خواندنی می‌یابند. همچنین، این اثر برای پژوهشگران حوزهٔ امنیت، تحلیلگران بدافزار و هر کسی که به دنبال ساخت ابزارهای دفاعی یا انجام تحلیل‌های پزشکی قانونی بر روی سیستم‌های ویندوز است، بسیار ارزشمند و راهگشا خواهد بود. با توجه به سطح بالای جزئیات فنی، این کتاب بیشتر برای مخاطبانی با پیش‌زمینهٔ برنامه‌نویسی و آشنایی با مفاهیم سیستمعامل مناسب است.

سوالات متداول

آیا برای درک این کتاب به دانش برنامه‌نویسی پیشرفته نیاز است؟

بله، این کتاب با سطح بالایی از جزئیات فنی نوشته شده و فرض را بر این می‌گذارد که خواننده با مفاهیم برنامه‌نویسی، به ویژه در محیط ویندوز و هسته، آشنایی دارد. با این حال، برای متخصصان امنیتی و برنامه‌نویسانی که به دنبال دانش عمیق‌تر هستند، منبعی ایده‌آل محسوب می‌شود.

آیا مفاهیم این کتاب پس از گذشت سال‌ها همچنان معتبر هستند؟

اگرچه برخی از مثال‌های کد و تکنیک‌های خاص ممکن است برای نسخه‌های جدیدتر ویندوز به‌روزرسانی نیاز داشته باشند، اما اصول بنیادین و رویکردهای آموزشی این کتاب همچنان به عنوان سنگ بنای دانش روت‌کیت در نظر گرفته می‌شوند و برای درک حملات مدرن بسیار حیاتی هستند.

آیا این کتاب تنها بر جنبه‌های تهاجمی متمرکز است یا به دفاع نیز می‌پردازد؟

این کتاب با وجود افشای تکنیک‌های تهاجمی، دقیقاً به این دلیل نوشته شده است که به متخصصان دفاعی امکان دهد تا با درک روش‌های مهاجم، بتوانند سیستم‌های خود را به‌خوبی محافظت کنند. بخش‌های قابل‌توجهی از کتاب به تشخیص روت‌کیت و ساخت نرم‌افزارهای پیشگیری از نفوذ مقاوم در برابر حملات روت‌کیت اختصاص دارد.

"Rootkits are the ultimate backdoor, giving hackers ongoing and virtually undetectable access to the systems they exploit. Now, two of the world's leading experts have written the first comprehensive guide to rootkits: what they are, how they work, how to build them, and how to detect them. Rootkit.com's Greg Hoglund and James Butler created and teach Black Hat's legendary course in rootkits. In this book, they reveal never-before-told offensive aspects of rootkit technology - learn how attackers can get in and stay in for years, without detection." Hoglund and Butler show exactly how to subvert the Windows XP and Windows 2000 kernels, teaching concepts that are easily applied to virtually any modern operating system, from Windows Server 2003 to Linux and UNIX. Using extensive downloadable examples, they teach rootkit programming techniques that can be used for a wide range of software, from white hat security tools to operating system drivers and debuggers. ''It's imperative that everybody working in the field of cyber-security read this book to understand the growing threat of rootkits.'' --Mark Russinovich, editor, Windows IT Pro / Windows & .NET Magazine ''This material is not only up-to-date, it defines up-to-date. It is truly cutting-edge. As the only book on the subject, Rootkits will be of interest to any Windows security researcher or security programmer. It's detailed, well researched and the technical information is excellent. The level of technical detail, research, and time invested in developing relevant examples is impressive. In one word: Outstanding.'' --Tony Bautts, Security Consultant; CEO, Xtivix, Inc. ''This book is an essential read for anyone responsible for Windows security. Security professionals, Windows system administrators, and programmers in general will want to understand the techniques used by rootkit authors. At a time when many IT and security professionals are still worrying about the latest e-mail virus or how to get all of this month's security patches installed, Mr. Hoglund and Mr. Butler open your eyes to some of the most stealthy and significant threats to the Windows operating system. Only by understanding these offensive techniques can you properly defend the networks and systems for which you are responsible.'' --Jennifer Kolde, Security Consultant, Author, and Instructor ''What's worse than being owned? Not knowing it. Find out what it means to be owned by reading Hoglund and Butler's first-of-a-kind book on rootkits. At the apex the malicious hacker toolset--which includes decompilers, disassemblers, fault-injection engines, kernel debuggers, payload collections, coverage tools, and flow analysis tools--is the rootkit. Beginning where Exploiting Software left off, this book shows how attackers hide in plain sight. ''Rootkits are extremely powerful and are the next wave of attack technology. Like other types of malicious code, rootkits thrive on stealthiness. They hide away from standard system observers, employing hooks, trampolines, and patches to get their work done. Sophisticated rootkits run in such a way that other programs that usually monitor machine behavior can't easily detect them. A rootkit thus provides insider access only to people who know that it is running and available to accept commands. Kernel rootkits can hide files and running processes to provide a backdoor into the target machine. ''Understanding the ultimate attacker's tool provides an important motivator for those of us trying to defend systems. No authors are better suited to give you a detailed hands-on understanding of rootkits than Hoglund and Butler. Better to own this book than to be owned.'' --Gary McGraw, Ph.D., CTO, Cigital, coauthor of Exploiting Software (2004) and Building Secure Software (2002), both from Addison-Wesley ''Greg and Jamie are unquestionably the go-to experts when it comes to subverting the Windows API and creating rootkits. These two masters come together to pierce the veil of mystery surrounding rootkits, bringing this information out of the shadows. Anyone even remotely interested in security for Windows systems, including forensic analysis, should include this book very high on their must-read list.'' --Harlan Carvey, author of Windows Forensics and Incident Recovery (Addison-Wesley, 2005) Rootkits are the ultimate backdoor, giving hackers ongoing and virtually undetectable access to the systems they exploit. Now, two of the world's leading experts have written the first comprehensive guide to rootkits: what they are, how they work, how to build them, and how to detect them. Rootkit.com's Greg Hoglund and James Butler created and teach Black Hat's legendary course in rootkits. In this book, they reveal never-before-told offensive aspects of rootkit technology--learn how attackers can get in and stay in for years, without detection. Hoglund and Butler show exactly how to subvert the Windows XP and Windows 2000 kernels, teaching concepts that are easily applied to virtually any modern operating system, from Windows Server 2003 to Linux and UNIX. Using extensive downloadable examples, they teach rootkit programming techniques that can be used for a wide range of software, from white hat security tools to operating system drivers and debuggers. After reading this book, readers will be able to \*Understand the role of rootkits in remote command/control and software eavesdropping \*Build kernel rootkits that can make processes, files, and directories invisible \*Master key rootkit programming techniques, including hooking, runtime patching, and directly manipulating kernel objects \*Work with layered drivers to implement keyboard sniffers and file filters \*Detect rootkits and build host-based intrusion prevention software that resists rootkit attacks Visit rootkit.com for code and programs from this book. The site also contains enhancements to the book's text, such as up-to-the-minute information on rootkits available nowhere else.