甲壳虫VIP_免杀中级班

这门《甲壳虫VIP_免杀中级班》面向的是已经写过基础 loader、能看懂 C/C++ 与少量汇编、但面对主流 AV/EDR 的静态与动态查杀时仍然频繁翻车的开发者。它不讲“一句话木马”那套入门内容，而是把重点放在免杀工程化这件事上：如何把 shellcode 的加载、执行、驻留拆成可控的模块，如何在每一层对抗启发式扫描、内存扫描与行为监控。整套资料的价值不在于让你记住某个成品 payload，而在于给你一套可以反复套用的结构，便于对照自己的代码做修改和验证。

技术栈与运行环境

课程内容围绕 Windows 平台展开，涉及的知识点包括 PE 结构、导入表与重定位、API 调用链、内存分配与权限切换、进程注入的基本形式，以及部分 shellcode 编码/加密处理。配套代码以 C/C++ 为主，会用到 Win32 API 与少量内联汇编或汇编片段，构建方式通常是 Visual Studio 工程或命令行编译。部分章节会涉及对杀软检测机制的拆解，比如静态特征命中、内存页属性异常、可疑 API 序列等，需要读者对调试器（x64dbg、WinDbg 之类）有基本操作能力。如果你之前只停留在调用现成工具的阶段，这门课会逼着你把每一步落到代码上，而不是停留在点击运行。

项目结构与可复用模块

资料的组织方式偏向“一个主题一段可编译代码”，而不是一条从零到一的连续业务线。比较值得单独拆出来复用的模块包括：shellcode 的存储与还原（避免明文落盘）、内存申请与写入的分段处理、执行阶段的权限过渡、以及针对特定检测点的绕过逻辑。这些模块之间耦合度不高，你可以把其中任意一段移植到自己的 loader 里，替换掉被查杀的那部分。章节笔记的作用也在这里——它记录的是每一版代码为什么被拦、改了哪一处之后恢复运行，这种“改动-验证”的记录比最终成品更有参考价值。建议在阅读时同步搭建一个自己的测试环境，用不同版本的杀软或沙箱做对照，否则很难判断代码里哪些部分是真的起作用，哪些只是摆设。

自学路径与对照方式

• 先补齐前置：PE 结构、Win32 内存 API、shellcode 的基本执行流程，这三块不牢后面会反复卡住。
• 按主题逐个打通，不要一次看完所有章节，每完成一个模块就独立编译、独立触发检测、独立记录结果。
• 把每一次被查杀的样本留存下来，标注检测类型（静态/内存/行为），形成自己的检测-绕过对照表。
• 进阶阶段尝试把分散的模块组合成一个完整 loader，再针对同一个样本反复迭代，观察检测点的迁移。

需要提醒的是，免杀本身是一个持续对抗的方向，课程中出现的具体绕过手法可能随着杀软规则更新而失效，但底层的结构思路——分阶段加载、减少可疑特征、控制执行时序——是相对稳定的。这份资料更适合当作一本可对照的工程笔记来用：先跑通，再拆解，最后改造成自己的东西，而不是把它当成看完就结束的视频。