千驹免杀基础教程1-5课

这套资料的主题是免杀（AV Evasion）的基础环节，内容集中在第 1 到第 5 课，属于偏底层原理与动手搭建的入门部分。它不适合当作速查手册，也不适合拿来直接跑通某个成品工具；更像是一份需要边看边敲、边调试边验证的实操记录。如果你之前只接触过调用现成 loader 的流程，这套内容能帮你把中间那层「为什么会被查出来」补上。

技术栈与内容定位

从线索看，前几课的重心落在环境搭建与工具链准备上。免杀方向的环境本身就是个门槛：编译链、调试器、监控工具、虚拟化隔离环境之间的版本兼容问题，往往比写代码更耗时间。这套资料把环境单独拎出来讲，说明作者是按「先把地基打平」的思路组织的，而不是一上来就丢 shellcode 加载器。

涉及的技术面大致包括：Windows 平台下的可执行文件结构基础、编译与链接流程、以及用于观察程序行为的工具链。这些内容单独看都不新鲜，但组合在免杀语境下，关注点会从「程序能不能跑」变成「程序在静态和动态两个维度上留下了什么特征」。这个视角的切换，是这套基础课真正想传递的东西。

项目结构上的处理方式

资料以课次拆分，每课围绕一个明确的小目标推进。这种组织方式的好处是每节都能独立复盘：环境没配好就停在第 2 课，不必担心后面的内容看不懂。坏处是知识点之间缺少显式的依赖图，需要你自己在笔记里补一张。建议在学每一课之前，先写下「这一课结束时我手上应该有什么」——一个能编译通过的最小程序、一份工具配置、或者一份行为对比记录，有了这个锚点，节奏会稳很多。

工具相关的内容建议不要照单全收。同样的工具在不同系统版本、不同杀软版本下表现差异很大，直接复制参数配置往往跑不出预期结果。更有效的做法是记录每个工具「输入什么、输出什么、观察到了什么」，把配置项和观察结果对应起来，后面排查问题时能省大量时间。

可复用的部分

• 环境隔离方案：把实验环境和日常环境分开，这个习惯在免杀方向几乎是刚需，一次误操作就可能把样本留在真实机器上。
• 编译链配置：能稳定产出一个最小可执行文件的编译参数组合，后续所有实验都建立在它之上，值得单独整理成一份可复用的配置。
• 行为观察方法：用工具记录程序启动后的文件、注册表、网络行为，形成固定流程，这套流程与具体样本无关，可以长期沿用。
• 笔记模板：把「预期行为 / 实际行为 / 差异原因」做成三列表格，每课填一次，几课下来就是一份自己的特征对照表。

自学路径建议

第 1 到第 5 课属于基础段，建议按顺序推进，不要跳。每课至少走两遍：第一遍跟着做，确保环境能出结果；第二遍脱离教程自己重做一遍，遇到卡壳的地方标记出来，这些卡点往往就是理解最薄弱的位置。

学完之后不要急着往下找更高级的内容。先回头整理一份文档，把环境配置、工具用途、观察到的现象和当时踩过的坑写清楚。免杀方向的知识零散且强依赖具体环境，不写下来，两周之后基本记不住细节。有了这份文档，再往后学更复杂的内容时，你才有一个可以对照的基线，而不是每次都从零开始猜。

需要提醒的是，这类技术有明确的使用边界。建议把所有实验限制在自建虚拟机、断网的隔离环境中，不要在任何非授权目标上验证。技术本身是中性的，怎么用决定了它的性质。