江叶：恶意代码分析实战课程课后习题解析 总计56节

这门课的主题很明确：不是从零讲恶意代码分析，而是针对江叶《恶意代码分析实战》课程后面的习题做逐题拆解。总共 56 节，每一节基本对应一道题或一类题，讲的是"这道题该从哪下手、用什么工具、看到什么现象说明什么"。如果你已经跟过一轮理论课，或者手上有样本但对着反汇编发呆，这套解析的价值就出来了。

它解决的是"卡在题上"的问题

恶意代码分析的学习曲线有个特点：概念听懂了，一上手就断片。比如 IDA 里看到一段循环加异或，知道它大概在解密字符串，但具体哪条指令是循环边界、密钥从哪来、解出来该长什么样，光看教材很难建立直觉。这套习题解析的作用就是把这层直觉补上——它不重新讲 PE 结构、不重新讲 x86 寻址，而是直接进入题目语境，告诉你分析路径怎么走。

从给出的目录线索看，内容覆盖了几类典型结构：带循环的恶意程序、switch 语句的识别、网络连接判断、自定义加密方式。这些都是逆向分析里反复出现的模式，识别一次、总结一次，后面遇到同类样本就能直接套。尤其是 switch 结构，编译器优化后可能变成跳转表，也可能拆成一串比较，光靠课本描述很难对应到真实反汇编，跟着题目走一遍会清晰很多。

技术栈与分析对象

从题目类型推断，主要工作环境是静态分析为主、动态验证为辅。反汇编工具大概率是 IDA，可能涉及 OllyDbg 或 x64dbg 做动态跟踪，网络行为部分会用到 Wireshark 或类似的抓包工具，判断 Internet 连接状态那几节还可能涉及 API 监控工具。样本类型偏向 Windows 平台的传统恶意代码，而不是宏病毒或纯脚本类。

需要说明的是，课程本身是习题解析，不是工具教学。也就是说，它默认你已经会用 IDA 的基本操作、知道怎么下断点、看得懂常见的 Win32 API 调用。如果这些还不熟，先补工具基础再来跟这套解析，效率会高很多。

可复用的分析套路

这套内容最值得沉淀的地方，是它反复示范的几条通用路子：

• 从字符串和 API 导入表反推行为意图，先建立假设再验证；
• 识别编译器生成的控制流结构（循环、switch、条件跳转），把汇编还原成 C 层逻辑；
• 对加密/编码逻辑，先定位密钥来源和数据流向，再决定是动态 dump 还是静态还原；
• 网络特征分析时，区分硬编码 IP/域名、DGA 生成、以及自定义协议封装三种情况。

这些套路不绑定具体样本，换一个恶意代码同样能用。建议在跟课的时候，每做完一题就记一条"下次遇到类似结构先看什么"，积累十几题之后你会发现自己的分析起手式变快了。

怎么用这套资料

不要当视频连续剧看。比较合理的用法是：先自己对着题目动手，卡住再看对应那节，看完立刻回到样本上复现一遍。习题解析类内容的最大风险是"看的时候都懂，关掉视频就不会"，所以复现这一步不能省。另外，遇到讲加密那几节，建议同时开一个笔记记录密钥提取方式和解密脚本的写法，这类代码在后续分析中复用率极高。

如果你正在做恶意代码分析的练习、或者想找一套按题型组织、能对照自己分析过程查漏的材料，这份 56 节的习题解析适合拿来当"参考答案 + 思路对照"，而不是当成入门教程。先动手，再对照，收益最大。