暗夜2013系列免杀教程

这套「暗夜2013系列免杀教程」的资料定位比较明确：它不是一门从零讲安全概念的科普课，而是围绕 2013 年前后那个特定时间窗口，演示如何对抗以 360 为代表的杀软检测。对今天做安全研究、恶意代码分析或红蓝对抗的人来说，它的价值不在于"招式"还能不能直接用，而在于它把当时免杀的核心方法论拆开讲了一遍——其中"定位 360 BT 特征码"这一节，几乎是理解整个免杀流程的入口。

主题与时间背景：为什么要看一份 2013 年的东西

2013 年是国内杀软特征码检测从"字符串匹配"向"多维度启发式"过渡的阶段。360 的 BT（行为特征/威胁特征）体系在当时已经不只是简单的字节序列匹配，而是结合了文件结构、PE 节区、导入表、行为链等要素。这门课讲的"定位特征码"，本质上是教你先搞清检测器到底盯着哪个位置，再决定改哪里——这个思路放到今天依然成立，只是检测维度变多了。

所以看这份资料的正确姿势，是把它当作一个"检测与对抗的解剖样本"：理解杀软如何在文件里找证据，样本又是如何通过加壳、混淆、特征替换来规避。至于具体工具和样本，很多已经无法在现代系统上跑通，需要你用虚拟机、离线环境去对照理解。

技术栈与涉及方向

• PE 文件结构与节区布局：理解特征码通常落在哪些字段和节区里。
• 特征码定位方法：通过分块、二分、单字节替换等方式缩小检测点范围，这是整门课最可复用的方法论。
• 加壳与混淆思路：压缩壳、加密壳对特征的影响，以及为什么单纯加壳不足以绕过 BT。
• 行为层面的规避：文件落地、进程注入、注册表操作等行为触发点的处理逻辑。

需要说明的是，这套内容偏 Windows 平台，和摘要里提到的 Linux 运维、云原生方向基本不搭界。如果你的目标是运维或 DevOps 岗位，这份资料帮不上忙；它更适合做逆向、恶意代码分析、渗透测试或安全研究的人拿来补底层认知。

结构特点与可复用模块

这类老教程的章节通常是围绕单个技术点展开的，一节解决一个问题，比如"怎么找到 360 认的那几个字节""改完之后怎么验证"。这种结构的好处是可以按需跳读，不需要线性刷完。真正值得抽出来复用的大概是三块：

• 特征码定位的操作流程：从整文件报毒到逐步缩小到具体偏移，这套排查链路可以迁移到其它检测场景。
• 验证闭环：每改一处就重新扫描确认，这种"改动—验证—再改动"的迭代方式，是做逆向调试的基本功。
• 分析记录习惯：把每次定位到的特征位置和修改方式记下来，形成自己的样本库笔记。

学习方式与建议

不建议当作视频连续剧来看。更实用的做法是：先看一节定位特征码的演示，然后在自己的实验环境里找一个已报毒的样本，照着同样的思路手动走一遍定位流程，记录每一步的偏移和扫描结果。遇到卡壳再回去对照教程的操作顺序。整个过程放在隔离的虚拟机里做，不要碰生产机和真实网络。

学完之后，能把"检测器在文件里看什么、样本怎么改能让它看不见"这条链路讲清楚，这份资料的目的就达到了。至于 2013 年的具体样本还能不能复现，不必强求——方法是活的，样本是死的。