红队蓝军免杀4期

不是工具课，是 Windows 对抗机制拆解课

红队蓝军的免杀，长期停留在"换一个生成器、加一层混淆"的阶段。问题是这类做法过不了 EDR。EDR 的检测维度不只在文件静态特征，还包括内存扫描、行为日志、回调链、特权进程保护。这门免杀课正对这套体系：先讲汇编、寄存器、内存布局，再讲进程线程、SSDT 系统调用、Windows 异常分发、调试机制，然后是 UAC、PPL、DLL 劫持等常见绕过面。每个主题都配 PDF 讲义与对照实验，课上的目标是让操作背后有系统层面的依据。

课程没有按"漏洞利用—上线—结束"的脚本式流程来教，而是把载荷从写入到执行、再到被查杀的每个环节拆开。比如内存管理配套了检测 shellcode 的内核驱动样例，学习者能直接看到内核里如何遍历内存属性并匹配特征，反过来就知道用户态该怎么隐藏与加密。APC、进程与线程、系统调用这几块，解决的是 shellcode 投递与执行链不被挂钩的方式；异常处理与调试则围绕反分析展开。整门课更接近安全开发视角的内核机制导读，适合接得住底层代码的开发者。

基础门槛与建议观看顺序

适合什么基础：至少熟练 C 语言和一种编译环境，能独立读写 Win32 API 程序；对 PE 文件、虚拟地址空间有基本概念。如果只写过 Python 脚本，建议先补指针、结构体、内存布局再开始。汇编部分从通用寄存器讲起，讲得不深，但对不熟悉寄存器传参和函数栈的开发者是必要底座。

建议先看三块：

• 汇编入门、进程与线程：把调用约定和执行上下文弄清楚，后续所有注入与回调都基于它。
• Windows 内存管理与 shellcode 检测驱动：理解可执行内存的分配属性、常驻行为，配合驱动样例看内核怎样扫内存特征。
• 系统调用与 SSDT：明白用户态 API 被挂钩后，直接进内核的系统调用为什么能绕过钩子；这是免杀里最核心的一条技术线。

这三块看完再碰 APC、进程强杀和 DLL 劫持。APC 本质是向目标现场注入执行，进程强杀涉及权限与句柄利用，DLL 劫持还要做导出函数转发，都有前置依赖。

学完能独立做什么，资料怎么配套练习

学完应能独立完成：分析杀软/EDR 主要的检测拦截面，针对性地改写载荷生成流程；写出自己的 shellcode 加密器与加载器，用系统调用级调用减少 API 特征；做出 DLL 劫持模块并完成导出函数转发；理解 PE 路径下签名与 PPL 机制的关系，能评估一条攻击链为什么会被拦截、在哪一层被拦。

配合练习的建议：

• 视频作为思路引导，PDF 作为速查手册，两者对照着看。
• 本地跑实验前先把虚拟机关快照，防止改坏环境无法回退。
• 遇到看不懂的内核拦截点，直接回到对应的"内存管理"章节复现样例，再带着问题看 shellcode 是如何被发现或隐藏的。
• 做完一个主题，尝试把它改成"自己实现一遍"——比如不用现成工具，手工构造一个 DLL 劫持导出表，或者自己写一个最小化的系统调用封装。