软件安全概述、预备知识（介绍了Windows API编程简介、Win32汇编语言程序设计、PE文件格式布局及其装载的相关背景知识）、软件缺陷和漏洞、恶意代码分析、安全软件开发生命周期、软件体系安全分析、软件安全需求分析、安全编码、软件安全测试、软件保护以及软件安全的国际研究现状。
每章都给出小结归纳全章的内容，便于复习。每个章节都有扩展阅读的建议和参考文献，指导进一步的课外自主学习。每个章节还配备了习题可供读者自测和引申思考。部分打*号的内容具有一定深度，可以选学。本教材各部分内容既相互联系又相对独立，可依据教学对象的特点组织编排，方便读者根据需要进行选择。
《软件安全》可作为大学本科相关课程的教材，内容实用，也可供广大信息安全从业人员和爱好者自学之用。《软件安全》还有配套的书籍网站，提供电子版、教案（课件）以及相关参考文献的下载。
信息系统所面临的各种安全威胁日益突出，信息安全问题已成为涉及国家政治、军事、经济和文教等诸多领域的战略安全问题。我国政府对网络与信息安全问题高度重视，国办印发的文件《关于网络信任体系建设的若干意见》明确指出了要特别重视网络安全的6方面内容；中办、国办印发的《国家2006年至2020年长期科学发展规划》中也突出了对各种网络安全问题的关注，将建设国家信息安全保障体系列为我国信息化发展的战略重点；国家“十一五”计划中也包含了提升国家信息安全保障服务能力的战略要求。西方发达国家纷纷制订了本国的网络与信息安全战略。比如，美国奥巴马政府正在采取措施加强美国网络战的备战能力，其中一项措施是创建网络战司令部，这表明美国的网络与信息安全战略已经由克林顿时代的“全面防御”、布什时代的“攻防结合”，转到奥巴马时代的“攻击为主，网络威慑”。
当前，制约我国网络与信息安全事业发展的瓶颈之一就是人才极度匮乏，为此，教育部从2001年起，陆续批准了包括北京邮电大学在内的近百所各类高校开设信息安全本科专业。但是，毕竟与其他经典的本科专业相比，信息安全本科专业的建设问题还面临许多挑战，需要全国同行共同努力，早日探索出一条办好信息安全专业的捷径。可喜的是，现在国内若干高校的教授团队都纷纷行动起来，各尽所能在信息安全本科专业建设方面取得了不少业绩。比如，灵创团队就是众多热心于信息安全本科专业建设的创新团队，该团队中的“信息安全教学团队”被教育部和财政部批准为“2009年度国家级教学团队”；其完成的成果“信息安全专业规范研究与专业体系建设”获得了国家级教学成果奖二等奖；其带头人也被评为“国家级教学名师”并受到了胡锦涛等党和国家领导人的接见。希望国内能够有更多的类似教学团队投身于信息安全本科专业建设。
由于教材建设是信息安全专业建设的重点和难点之一，中国密码学会教育工作委员会自成立以来就一直致力于推进密码学与信息安全方面的教学和教材建设，比如，与国防工业出版社联合主办了“密码学与信息安全教学研讨会”等一系列研讨活动，并成立“普通高等教育本科密码信息安全类系列教材”编审委员会来组织策划相关系列教材。编审委员会在充分研究信息安全本科专业规范的基础上，经过细致研究，多次反复讨论，规划了与信息安全本科专业规范相配套的本系列教材。
第1章 软件安全概述
1.1 软件的概念
1.1.1 软件的定义
1.1.2 软件的分类
1.2 软件安全的概念
1.3 软件安全的知识体系
1.4 软件安全与其他相关领域的关系
1.4.1 软件工程
1.4.2 软件保证
1.4.3 软件质量
1.4.4 软件可靠性
1.4.5 软件容错
1.4.6 应用安全
1.5 专有名称及定义
1.6 软件安全工具简介
1.6.1 反汇编器
1.6.2 调试器
1.6.3 反编译器
1.6.4 系统监控工具
1.6.5 修补和转储工具
小结
参考文献
习题
第2章 预备知识
2.1 Windows API编程简介
2.1.1 Windows应用程序的组成
2.1.2 Windows API
2.1.3 Windows编程的基本概念
2.1.4 Win32数据类型、句柄、命名法
2.1.5 函数指针
2.1.6 消息结构、类型与机制
2.2 Win32汇编语言程序设计简介
2.2.1 80x86处理器寄存器
2.2.2 IA－32指令系统
2.2.3 win32汇编程序举例
2.2.4 函数调用时栈的变化
2.3 PE文件格式布局及其装载
2.3.1 PE文件结构布局
2.3.2 PE文件中的地址概念
2.3.3 PE文件内存映射方法
2.3.4 载入并执行PE文件的过程
2.3.5 PE文件执行时的内存布局
小结
参考文献
习题
第3章 软件缺陷和漏洞
3.1 缺陷和漏洞简介
3.1.1 缺陷和漏洞的定义
3.1.2 软件缺陷存在的原因
3.1.3 软件安全漏洞存在的原因
3.2 软件漏洞产生的机理
3.2.1 栈溢出漏洞
3.2.2 堆溢出漏洞
3.2.3 格式化串漏洞
3.2.4 SQL注入漏洞
3.3 漏洞的分类
小结
参考文献
扩展阅读建议
习题
研究参考题
第4章 恶意代码分析
4.1 恶意软件的分类和区别
4.2 病毒的机理与防治
4.2.1 病毒的定义
4.2.2 病毒的分类
4.2.3 文件型病毒的感染技术
4.2.4 病毒的检测
4.3 蠕虫的机理与防治
4.3.1 蠕虫和病毒的区别及联系
4.3.2 蠕虫的分类
4.3.3 蠕虫与软件漏洞的关系
4.3.4 蠕虫的基本结构
4.3.5 蠕虫的工作方式
4.3.6 蠕虫技术的发展
4.3.7 蠕虫的防治与检测
4.4 木马的机理与防治
4.4.1 木马的定义
4.4.2 木马的结构
4.4.3 木马实施网络入侵的基本步骤
4.4.4 木马的基本原理
4.4.5 木马的传播方式
4.5 其他恶意代码的机理
4.5.1 移动代码
4.5.2 一告软件和间谍软件
4.5.3 粘人软件
4.5.4 网页恶意脚本程序
4.5.5 即时通信病毒
4.5.6 手机病毒
4.5.7 宏病毒
4.6 恶意代码分析技术
4.6.1 分析前的准备
4.6.2 分析过程（脱壳与动态分析）
小结
参考文献
扩展阅读建议
习题
研究思考题
第5章 安全软件开发生命周期
5.1 软件开发生命周期概述
5.1.1 软件过程
5.1.2 软件生存周期
5.2 传统软件开发生命周期
5.3 安全软件开发生命周期
5.4 其他安全软件开发生命周期模型
5.4.1 微软可信计算安全开发生命周期
5.4.2 安全软件开发的小组软件过程
5.4.3 安全敏捷开发
5.4.4 软件可信成熟度模型
5.4.5 软件安全框架
5.4.6 BSI成熟模型
小结
参考文献
扩展阅读建议
习题
研究思考题
第6章 软件体系安全分析
6.1 风险分析简介
6.2 基于标准的风险分析
6.2.1 NIST ASSET
6.2.2 CMU SEI的OCTAVE
6.2.3 信息系统审核与控制协会的COBIT
6.3 STRIDE模型
6.3.1 STRIDE威胁模型
6.3.2 威胁建模的过程
小结
参考文献
习题
第7章 软件安全需求分析
7.1 安全规则与规章 简介
7.1.1 OWASF的WASS
7.1.2 HIPPA
7.1.3 FISMA
7.2 软件安全原则
7.3 软件安全相关标准
7.4 安全需求工程
7.4.1 安全需求的基本概念
7.4.2 安全需求分析
7.4.3 安全需求工程工具
7.4.4 基于滥用和误用案例的安全需求
小结
参考文献
习题
研究思考题
第8章 安全编码
8.1 安全编码原则
8.1.1 CERT安全编码建议
8.1.2 CERT C语言的安全编码标准
8.1.3 避免缓冲区溢出
……
第9章 软件安全测试
第10章 软件保护
第11章 软件安全的国际研究现状
后记
本章从软件的概念开始介绍，引出软件安全的概念，并通过软件安全威胁的现状指明软件安全的重要性和应用价值，然后简介软件安全的知识体系，最后区分软件安全和其他相关领域的关系。
1.1 软件的概念
1.1.1 软件的定义
1983年IEEE为软件下的定义是：计算机程序、方法、规则和相关的文档资料以及在计算机上运行时所需的数据。目前对软件通俗的解释为：
软件=程序+数据+文档资料
其中，程序是完成特定功能和满足性能要求的指令序列；数据是程序运行的基础和操作的对象；文档资料是与程序开发、维护和使用有关的图文资料。
1.1.2 软件的分类
对软件的类型进行必要的划分，根据不同类型的工程对象采用不同的安全方法是很有价值的，因此有必要从不同的角度讨论计算机软件的分类情况。
1.按软件的功能分类
按软件的功能进行划分，软件可分为系统软件、支撑软件和应用软件三类，它们有如下的特点。
1）系统软件
系统软件是计算机运行的必不可少的组成部分，它与计算机硬件紧密配合，控制并协调计算机系统各个部件、相关的软件和数据高效地工作。例如，操作系统、设备驱动程序以及通信处理程序等。
2）支撑软件
支撑软件是协助用户开发软件的工具性软件，其中包括帮助程序人员开发软件产品的工具，也包括帮助管理人员控制开发进程的工具。例如，支持需求分析，支持设计，支持编码，支持测试等。
3）应用软件
应用软件是指在特定领域内开发，为特定目的服务的软件。目前，计算机已经成为大多数日常工作的必需工具，在很多应用领域都需要专门的软件支持，在这些种类繁多的应用软件中，商业数据处理软件所占比例最大，此外还有工程与科学计算软件、系统仿真软件、人工智能软件及各类办公自动化软件和信息处理软件等。
书单推荐
