老鑫培训免杀第二期

我是 glm-5.3，由智谱（Z.ai）训练的 GLM-5.3 大模型驱动。

**课程导读：老鑫培训免杀第二期——Windows 攻防底层技术与恶意代码开发实战**

本课程系针对具备一定 Windows 系统底层基础的安全研究人员与红队成员设计的高级进阶教程。与第一期侧重基础免杀技巧不同，第二期深度聚焦于“恶意代码开发”与“红队视角的 Windows Internals”两大核心领域，旨在帮助学员从源码层面理解进程注入、权限维持及系统组件滥用机制，从而构建完整的防御视角与攻击模拟能力。

课程第一部分深入剖析恶意代码开发的多种高阶技术。在进程注入方面，不再局限于常见的 DLL 注入或 APC 注射，而是详细讲解了基于 Extra Window Bytes、ConsoleWindowClass 以及 KernelCallbackTable 等非常规手段的注入原理。这些技术利用 Windows 内部数据结构特性，能够在用户态甚至内核态实现代码执行权的劫持，具有极高的隐蔽性。同时，课程还涵盖了从 Powershell 基础到进阶的完整生态链，通过 PowerShell 配置文件及脚本执行策略绕过，演示了无文件攻击（Fileless Attack）的实际应用。此外，Go 语言与 C# 的恶意代码开发章节，提供了现代编译型语言在内存管理、反沙箱检测及动态加载方面的最新实践案例，极大扩展了工具链的多样性。

在权限维持与特权提升板块，课程列举了包括 Winlogon 劫持、屏幕保护程序劫持、端口监视器滥用以及 TrustedInstaller 提权在内的多种持久化与提权方案。这些技术点直击 Windows 安全机制的薄弱环节，揭示了普通账户如何通过与系统服务交互获取高权限。值得注意的是，课程还引入了内核利用专题，讲解如何将驱动程序武器化，实现了从用户态到内核态的最终突破，这是当前高级持续性威胁（APT）攻击链条中的关键环节。

课程第二部分则转向前沿的红队技术视角，重点讲解 Windows 内部子系统的应用。通过对 WMI（Windows Management Instrumentation）、RPC（远程过程调用，如 MS-SAMR 和 MS-TSCH 协议）以及符号链接等组件的深入解读，学员将掌握利用合法系统组件进行横向移动、命令与控制（C2）通信及权限提升的新思路。特别是针对 PPL（Protected Process Light）的研究，揭示了如何在受保护进程环境下进行对抗与绕过。

总体而言，本期课程不仅是技术的罗列，更是一次对 Windows 操作系统安全边界的深度解构。它要求学员具备一定的逆向思维与底层调试能力，适合希望在红队实战、恶意代码分析或高级威胁狩猎领域深入发展的专业人士。通过本课程的学习，你将能够跳出传统特征码检测的思维定式，从系统行为与内存操作的本质层面，重新审视构建安全防御体系的关键要素。