33VC网免杀基础系列[共10课]

这套「33VC网免杀基础系列」共 10 课，主题很集中：围绕 Windows 平台下的恶意代码检测对抗，从最基础的特征码、启发式查杀讲起，逐层过渡到可运行的免杀实现。它面向的不是纯理论读者，而是手里有 C/C++、汇编或逆向基础、希望把"为什么被杀"和"怎么改才不被杀"这两件事打通的人。整个系列以 2010 年前后的杀软（金山毒霸 2011 这类）作为检测样本，虽然时间较早，但检测原理和对抗思路并没有过时，反而因为样本清晰、行为直观，很适合作为理解免杀机制的起点。

技术栈与运行环境

课程内容偏底层，落点在 PE 文件结构、x86 汇编、C 语言编译产物上。涉及的关键技术点大致包括：

• 特征码定位与匹配原理，理解杀软如何从文件字节层面识别威胁；
• 花指令（Junk Code）的插入方式，以及它如何干扰静态特征提取；
• PE 节区（Section）的增删改，包括节表操作、入口点（OEP）调整；
• 加壳与入口点保护的基本形态，理解壳本身也是一种免杀载体；
• 内存加载与行为特征的规避思路。

工具链上，你会用到十六进制编辑器、PE 查看器、调试器以及编译器，重点不是工具本身怎么用，而是弄清楚每一步改动对最终文件结构和运行时行为产生了什么影响。这也是这门课值得动手跟着做的原因——光看视频，很难建立"改一个字节、杀软行为就变了"的直觉。

课程节奏与内容结构

10 节课的编排是递进的。前几节从花指令和特征码定位切入，让你先建立"杀软到底在查什么"的认知；中间的课程转向对 PE 结构的直接操作，把免杀从"改代码"过渡到"改文件"；后段涉及更完整的处理流程，把前面零散的手法组合成一套可以跑通的操作。这种"概念—单点手法—组合落地"的顺序，比一上来就堆技巧更适合自学。

需要提醒的是，这类内容的价值不在看完，而在复现。每节课建议留出对照实操的时间，用同一份样本分别做前后对比，观察杀软报毒结果的变化，再回头理解改动对应的结构位置。

可复用模块与工程视角

如果你是带着工程目的来的，可以从两个角度拆这套资料：一是 PE 结构操作部分，节区编辑、入口点修改、文件头处理这些代码逻辑是可以抽出来复用的，做加壳、做文件加固、做二进制分析都会碰到；二是特征码定位思路，它和病毒分析、样本研判、甚至 EDR 规则编写是同一套思维。免杀只是这套思维的一个应用方向，把底层原理吃透，转去做安全对抗或样本分析都不算白学。

适合谁、怎么学

这门课不适合零基础。如果你没写过 C、没看过汇编、也不知道 PE 文件长什么样，建议先把这几块补上再回来。有逆向或安全基础的人，可以按目录顺序走一遍，重点放在"动手改、动手编译、动手验证"这个循环上。每完成两到三节，整理一份自己踩过的坑和验证结果，比抄笔记有用得多。最终能不能独立复现一套完整流程，是检验这套资料吸收程度的实际标准。