《软件安全》复习课件.ppt

《煤矿安全规程》解读.ppt课件.ppt

1,h,煤矿安全规程解读露天矿部分主讲人：韩万东,2,h,目 录,第一章 一般规定 第二章 采 剥 第三章 运输 第四章 排土 第五章 滑坡防治 第六章 防治水和防灭火 第七章 电气 第八章 设备检修,3,h,第一章 一般规定,一煤矿企业应,

《《软件安全》复习课件.ppt》由会员分享，可在线阅读，更多相关《《软件安全》复习课件.ppt（70页珍藏版）》请在上搜索。

1、1,软件安全,题型： 选择题（10*2分=20分） 填空题（6*3分=18分） 判断题（11*2分=22分） 简答计算题（4-5小题，共40分）,2,信息的表现形式,信息可以以多种形式表现：打印或书写在纸上，以电子数据的方式存储，或以胶片形式显示或者通过交谈表达出来等。,3,安全（Safety vs Security）,Safety自然的，物理的，相对具体的如房屋、桥梁、大坝Security社会的，人为的，相对抽象的如食品、软件,4,我们愿意保护我们的信息吗？,该信息的价值有多大？可能面临哪些风险？为保护该信息需要付出多少成本？在什么情况下愿意采取安全措施？认识到的价值*认识到的风险认识到的成。

《实验室生物安全》PPT课件.ppt

实验室生物安全PPT课件,案例1：美国活炭疽杆菌暴露,2014年6月，美国疾病控制和预防中心CDC一间高级别生物安全实验室，在对活炭疽杆菌进行灭活时，可能没有遵循正确的程序。随 后，他们将可能带有活炭疽菌的样本转移到三个低级别实验室，而后者,

2、本？是否应该采取安全措施？真实价值*真实风险真实成本？,系统引导与控制权,系统引导与恶意软件有何关系？,5,计算机系统引导过程,6,系统引导与恶意软件的关联,系统引导与恶意软件有何关系？恶意软件在植入系统之后，如何再次获得控制权？在计算机系统引导阶段获得控制权Bootkit：BIOS木马、MBR木马等，可用于长期驻留在系统；早期的DOS引导区病毒等。CIH病毒在操作系统启动阶段获得控制权最常见的恶意软件启动方法，多见于独立的恶意软件程序。在应用程序执行阶段获得控制权最常见的文件感染型病毒启动方法。,7,实模式REAL,PROTECTED保护模式,VIRTUAL虚拟8086,CR0的PE位 置1。

3、,CR0的PE位 置0,通过中断,执行IRETD指令,RESET信号,RESET对CPU复位,Intel80X86处理器三种工作模式关系：,实模式、保护模式和虚拟86模式,8,FAT32文件系统结构,引导扇区,数据存储区（以簇为单位，每簇包含多个扇区，以簇号进行标示）,FAT（File Allocation Table，文件分配表）FAT1+FAT2,9,文件的存储,操作示意图,引导扇区,数据存储区,FAT,按照文件大小定位足够的空闲簇,2.创建文件目录项(32+Bytes),3.在FAT中构建簇链表,4.在对应分配的簇中写入数据,10,目录项的含义,文件属性,文件大小,保留,FAT32中，目。

4、录也被当作文件进行处理。如果是长文件名，则目录项向上继续扩展。,11,文件创建实例,文件大小,首簇号：000A08DE（657630）,文件大小：D488（54408字节，占14簇，每簇4096字节）,12,文件删除实例（AUTORUN.INF）-目录项的变化,文件被删除后目录项的变化,删除前,13,文件删除实例（AUTORUN.INF）-簇链表变化,文件被删除后FAT表的变化：簇链表已被清空,删除前,删除后,14,文件删除实例（AUTORUN.INF）-文件内容无变化,15,2.5.3被删除文件的恢复机理,差异,目录项：文件名首字节被修改为E5首簇高位被清零FAT表簇链：被全部清空文件内容：。

5、无变化,可否恢复？,目录项文件名首位是否可还原？如何确定高位？FAT表簇链如何修复？连续存储（默认）总簇数（文件大小 ）,16,2.5.3被删除文件的恢复机理,还原文件名首字节长文件名：直接逆向定位完整文件名。确定高位并还原参考相邻目录项的首簇高位从0往上试探，看首簇指向内容是否为预期文件头部修复FAT表簇链通过文件大小计算所占簇数按照连续存储假设，进行簇链修补，其中末簇FAT项用0FFFFFFF结尾。,17,PE文件格式查看工具1-PEView,PEView：可按照PE文件格式对目标文件的各字段进行详细解析。,18,PE文件格式查看工具2-Stud_PE,Stud_PE：可按照PE文件格式对。

6、目标文件的各字段进行详细解析。,19,PE程序调试工具-Ollydbg,Ollydbg：可跟踪目标程序的执行过程，属于用户态调试工具。,20,16进制文件编辑工具-UltraEdit,UltraEdit：可对目标文件进行16进制查看和修改。,21,3 PE文件格式总体结构,22,3C处的值：000000B0指向PE文件头开始位置,23,1）字串 “PE00”,Signature 一dword类型，值为50h, 45h, 00h, 00h（PE00）。 本域为PE标记，可以此识别给定文件是否为有效PE文件。,PE00,24,2） 映像文件头（0 x14）,该结构域包含了关于PE文件物理分布的信息， 比如节数目、后续可选文件头大小、机器类型等。,25,3）可选文件头,定义了PE文件的很多关键信息内存镜像加载地址（ImageBase）程序入口点（代码从哪里开始执行？)节在文件和内存中的对齐粒度本程序在内存中的镜像大小、文件头大小等,26,ImageBase：PE文件在内存中的优先装载地址。 RVA地址：Relative Virtual Address，相对虚拟地址，它是相对内存中ImageB。