Yes黑客联盟

这套资料的主题是「无特征码免杀」，来自 Yes 黑客联盟，共 20 课。它不讲渗透测试的全流程，也不铺开讲红队体系，而是把范围收窄到一个具体工程问题：当静态特征检测已经能识别出 payload 的字节序列时，如何通过改造载荷本身，让它不再命中已有的特征库。对做安全研究、逆向分析或者防御侧检测规则编写的人来说，这是一个必须理解清楚的对抗面。

它解决的是哪一类工程问题

杀毒与 EDR 的静态检测，本质上是把文件或内存中的字节序列、导入表、字符串、熵值等提取成特征，再与特征库比对。所谓「无特征码」，并不是让程序凭空消失，而是让原始载荷经过编码、加密、混淆、拆分或运行时自解码之后，磁盘上的静态形态与已知样本不再相似，从而绕过基于签名的匹配。这类技术的核心矛盾在于：载荷最终必须恢复成可执行状态，检测方就会转向内存扫描、行为监控和启发式规则。理解这条对抗链，比记住某个具体工具更重要。

20 课的结构大致怎么走

按同类资料的常见组织方式，前几课一般会先补齐前置概念：PE 文件结构、节区与入口点、shellcode 的加载方式、杀软扫描的触发时机。中间部分进入实操，涉及编码器与加密壳的思路、载荷分段与内存解密、加载器（loader）的编写与调用约定、以及如何用调试器验证载荷是否被正确还原。后段通常会讨论检测与反检测的来回：为什么某种混淆会失效、内存特征如何被捕获、行为链上的哪些动作容易暴露。学习时建议把每一课的「绕过了什么」和「为什么能被绕过」分开记录，前者是操作，后者才是可迁移的知识。

可复用的模块与代码组织

这类内容真正能沉淀下来的，是几个可以独立复用的组件：载荷编码/解码函数、内存分配与权限修改的封装（VirtualAlloc、VirtualProtect 一类 API 的调用模式）、加载器骨架、以及用于验证的调试脚本。把这几块从课程示例里抽出来，改成自己项目的模块，比逐课抄代码更有价值。同时要注意，示例代码往往依赖特定的编译选项（字符集、运行库链接方式、优化等级），换个环境就可能行为不一致——这本身就是一个值得记录的工程细节。

自学路径与合规提醒

• 先补 PE 结构与 Win32 API 基础，否则后半程的加载器代码会看不懂。
• 每课动手复现，并用调试器确认内存中载荷的真实形态，而不是只看运行结果。
• 把「检测视角」和「绕过视角」对照着看，尝试自己写一条能捕获该样本的规则。
• 整理一份技术笔记，记录失效场景和失败原因，这比成功截图更有说服力。
• 所有实验放在隔离虚拟机与授权环境中进行，不要用于未授权的目标。

适合拿来对照实践，而不是空看视频。20 课的量不大，但每一课都值得停下来改一改参数、换一种编码方式、看一次内存快照。真正学到手的，是那条「静态形态—运行时还原—检测响应」的完整链路，而不是某一个固定的绕过手法。