Cyber Shelf

// Comparaison

Evasive Malware vs The Shellcoder's Handbook : lequel lire ?

Deux livres de cybersécurité sur Reverse Engineering, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Avancé
4/52024
Evasive Malware

A Field Guide to Detecting, Analyzing, and Defeating Advanced Threats

Kyle Cucci

Kyle Cucci sur la course aux armements anti-analyse : détection sandbox, anti-debug, anti-VM, packing, et le tooling et tradecraft côté analyste qui passent ces couches.

Avancé
4/52007
The Shellcoder's Handbook

Discovering and Exploiting Security Holes

Chris Anley, John Heasman, Felix Lindner, Gerardo Richarte

Texte fondateur sur l'exploitation par corruption mémoire sur Linux, Windows, Solaris et cibles embarquées. Antérieur aux mitigations modernes mais reste l'introduction canonique aux techniques que la toolchain actuelle est conçue pour contrer.

À lire si

Analystes malware qui ont fini Practical Malware Analysis et continuent de se faire battre par des échantillons qui détectent leur sandbox. La référence actuelle sur le tradecraft anti-analyse, par un praticien sandbox-et-détection respecté.
Lecteurs déterminés à apprendre l'exploitation binaire sérieusement, après avoir terminé Hacking: The Art of Exploitation et qui veulent une référence multi-plateforme qui creuse plus profond.

À éviter si

Débutants. Cucci suppose que vous savez déjà monter un sandbox, faire de l'analyse statique et dynamique et lire de l'assembleur ; le livre prend la suite là où PMA s'arrête.
Quiconque attend les mitigations modernes (post-2010) ou les allocateurs heap actuels. Le livre précède l'application d'ASLR, le durcissement heap moderne, CFI, et tout l'arc de mitigations sur lequel le toolchain moderne est construit. Il enseigne les techniques que les systèmes modernes sont conçus pour neutraliser.

Points clés

  • Les checks anti-VM et anti-sandbox tournent maintenant en première instruction de la plupart des échantillons ; le livre catalogue les patterns dominants et comment les neutraliser.
  • Les packers modernes sont conceptuellement simples mais opérationnellement exigeants ; le cadrage de Cucci de l'unpacking-comme-émulation-en-étapes est le plus net en imprimé.
  • L'obfuscation de flux de contrôle (opaque predicates, protections basées virtualisation) est le problème actuel le plus dur de l'analyste ; les chapitres là-dessus justifient le livre à eux seuls.
  • Les chapitres exploitation Windows restent la meilleure introduction publiée aux mécaniques spécifiques SEH/PE qui n'existent pas chez Erickson.
  • Les chapitres heap enseignent le vocabulaire conceptuel (unlinking, frontlinking, magic values, freelists) nécessaire pour lire les writeups CTF modernes, même si les allocateurs spécifiques ont évolué.
  • Le chapitre « tracker les patches, pas les exploits » est le conseil de vulnerability research le plus sous-estimé publié.

Comment ils se comparent

Evasive Malware et The Shellcoder's Handbook sont tous deux notés 4/5 dans notre catalogue. Choisissez selon vos préférences thématiques et de style, plutôt que sur la note.

Les deux livres ciblent un public de niveau avancé : le choix se fait sur la thématique, pas la difficulté.

Evasive Malware et The Shellcoder's Handbook couvrent tous les deux Reverse Engineering : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Evasive Malware

→ Alternatives à Evasive Malware→ Que lire après Evasive Malware

The Shellcoder's Handbook

→ Alternatives à The Shellcoder's Handbook→ Que lire après The Shellcoder's Handbook

Thématiques liées

Reverse Engineering