甲壳虫 免杀高级班

免杀（AV Evasion）这门技术，真正难的地方不在"过某个杀软"，而在于理解防御方到底在看什么：静态特征、启发式规则、内存扫描、行为链、ETW 与 AMSI 遥测。甲壳虫免杀高级班的内容组织基本围绕这条对抗逻辑展开，而不是给一堆"一键免杀工具"的操作演示。它更适合已经写过基础 shellcode 加载器、能看懂 C/C++ 和 Windows API 调用链的开发者拿来对照实践。

技术栈与前置能力

课程涉及的代码集中在 Windows 原生开发层面，常见的技术点包括：PE 结构解析与手工加载、Shellcode 的加密与编码（异或、AES、多态）、内存分配与权限流转（VirtualAlloc / VirtualProtect 一类的调用组合）、进程注入与 APC 注入、回调函数与白利用手法、以及 syscall 直连绕过用户态 Hook 的思路。

前置能力上，至少需要能读懂 C 语言指针与结构体、会用 Visual Studio 建工程并调试、了解进程与线程的基本模型。如果对 PE 头布局和导入表完全陌生，先补这部分再进课程会顺很多，否则后面讲加载器实现时容易卡在"为什么这块内存不可写"这种底层问题上。

课程结构上的取舍

整体节奏是"防御原理 → 绕过思路 → 编码实现 → 检测验证"的闭环，而不是按工具分章节。这种结构的好处是每个技术点都能回答三个问题：防御方靠什么特征识别、我们改哪一层去规避、改完之后用什么方式自测。对于想建立方法论的人，这比记住十个 payload 更有价值。

• 静态层：特征码定位与修改、节区处理、签名相关的基础认知。
• 动态层：行为监控的触发点、API 调用序列的调整、执行流拆解。
• 内存层：加密载荷的解密时机、内存属性切换、避免长时间可读写可执行页。
• 工程层：把零散技巧整合成一个可编译、可迭代的加载器项目。

可复用模块与工程化视角

这门课真正能沉淀下来的，是几个可迁移的模块化组件：载荷加解密模块、内存加载执行模块、字符串与 API 名称的运行时解析模块、以及日志与自测模块。把它们拆成独立单元后，可以在不同项目里替换组合，而不是每次重写一遍。

建议在实际跟做时，用 Git 管理自己的实现版本，每个绕过点单独提交，记录"改了什么 / 检测结果如何变化"。杀软版本、引擎更新会持续影响结论，保留对比记录才能在技术失效时快速定位是哪一层被识别了。这种记录习惯本身也是面试或技术分享时最有力的材料。

自学路径与练习建议

合理的使用顺序是：先看懂每一节的防御原理，再关掉讲义自己写一遍对应实现，最后在隔离的虚拟机环境里做检测验证。不要在真实主机上测试，也不要拿课程内容去碰任何未经授权的目标——免杀技术的学习价值在于理解攻防博弈的检测面，而不是实际投放。

练习环境建议准备独立的 Windows 虚拟机、快照回滚能力，以及一份记录检测结果的表格。每完成一类绕过，就把"引擎版本 + 检测结果 + 触发原因"记下来，几轮下来你会形成自己的判断力：知道哪些手法是通用思路，哪些只是针对某个版本的临时技巧。

如果目的是把这门技术转化成可展示的能力，重点不在"过了几个引擎"，而在于能否清楚讲出检测原理、绕过位置和失效条件。能做到这一层，说明你掌握的是分析能力，而不是工具用法。