Windows APT Warfare：惡意程式前線戰術指南

CHAPTER 01 一個從 C 開始說起的故事
最精簡的 Windows 程式
組合語言腳本生成（C Compiler）
組譯器（Assembler）
組譯程式碼
連結器（Linker）
從靜態一路到動態執行

CHAPTER 02 檔案映射（File Mapping）
PE 靜態內容分佈
NT Headers
Section Headers
Lab 2-1 靜態PE解析器（PE Parser）
動態檔案映射
Lab 2-2 PE 蠕蟲感染（PE Patcher）
Lab 2-3 手工自造連結器（TinyLinker）
Lab 2-4 Process Hollowing（RunPE）
Lab 2-5 PE To HTML（PE2HTML）

CHAPTER 03 動態函數呼叫基礎
呼叫慣例
TEB（Thread Environment Block）
PEB（Process Environment Block）
Lab 3-1 參數偽造
Lab 3-2 動態模組列舉
Lab 3-3 動態模組資訊偽造

CHAPTER 04 導出函數攀爬
Lab 4-1 靜態 DLL 導出函數分析
Lab 4-2 動態 PE 攀爬搜尋函數位址
Lab 4-3 手工 Shellcode 開發實務
Lab 4-4 Shellcode 樣板工具開發

CHAPTER 05 執行程式裝載器
Lab 5-1 靜態引入函數表分析
Lab 5-2 在記憶體中直接呼叫程式
Lab 5-3 引入函數表劫持
Lab 5-4 DLL Side-Loading（DLL 劫持）

CHAPTER 06 PE 模組重定向（Relocation）
Lab 6-1 精簡版執行程式裝載器設計

CHAPTER 07 將EXE 直接轉換為 Shellcode（PE To Shellcode）

CHAPTER 08 加殼技術（Executable Compression）
加殼器（Packer）
殼主程式（Stub）

CHAPTER 09 數位簽名
Authenticode Digital Signatures
驗證嵌入數位簽章
WinVerifyTrust 內部認證流程
PE 結構中的 Authenticode 簽名訊息
證書簽名訊息
Lab 9-1 簽名偽造（Signature Thief）
Lab 9-2 雜湊校驗繞過
Lab 9-3 簽名擴展攻擊
濫用路徑正規化達成數位簽章偽造

CHAPTER 10 UAC 防護逆向工程至本地提權
UAC 服務概要
RAiLaunchAdminProcess
UAC 信任授權雙重認證機制
Authentication A（認證A）
Authentication B（認證B）
UAC 介面程式 ConsentUI
UAC 信任認證條件
不當註冊表配置引發的特權劫持提權
Elevated COM Object UAC Bypass
Lab 10-1 Elevated COM Object(IFileOperation)
Lab 10-2 CMSTP 任意特權提升執行
Lab 10-3 透過信任路徑碰撞達成提權

APPENDIX A 附錄
Win32 與NT 路徑規範
DOS 路徑1.0
DOS 路徑2.0
例子1
例子2
例子3
例子4
例子5
例子6
例子7
例子8