https://souljian.cn/tags/av/Recent content in AV on SoulJian小站Hugo -- gohugo.ioen-usSun, 30 Aug 2026 10:00:00 +0800https://souljian.cn/p/751088142/Sat, 29 Aug 2026 14:00:00 +0800https://souljian.cn/p/751088142/<h2 id="写在前面合法学习边界">写在前面：合法学习边界 </h2><p>免杀技术只在授权测试环境使用。在非授权系统实施免杀是违法行为。</p> <h2 id="一免杀工具链">一、免杀工具链 </h2><img src="https://souljian.cn/img/av-evasion-chain.svg" alt="免杀工具链" /> <div class="highlight"><div class="chroma"> <table class="lntable"><tr><td class="lntd"> <pre tabindex="0" class="chroma"><code><span class="lnt">1 </span></code></pre></td> <td class="lntd"> <pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">编码混淆 → 编译加壳 → 代码混淆 → Loader 加载 → C2 上线 → 持久化 </span></span></code></pre></td></tr></table> </div> </div><h2 id="二各层对抗">二、各层对抗 </h2><div class="highlight"><div class="chroma"> <table class="lntable"><tr><td class="lntd"> <pre tabindex="0" class="chroma"><code><span class="lnt">1 </span><span class="lnt">2 </span><span class="lnt">3 </span><span class="lnt">4 </span></code></pre></td> <td class="lntd"> <pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">编码混淆：msfvenom → 静态特征减少 </span></span><span class="line"><span class="cl">编译加壳：UPX/VMProtect → PE 文件保护 </span></span><span class="line"><span class="cl">代码混淆：PHP base64_decode → eval </span></span><span class="line"><span class="cl">Loader 加载：反射 DLL 加载 · 无文件落地 </span></span></code></pre></td></tr></table> </div> </div><h2 id="三edr-检测手段">三、EDR 检测手段 </h2><div class="highlight"><div class="chroma"> <table class="lntable"><tr><td class="lntd"> <pre tabindex="0" class="chroma"><code><span class="lnt">1 </span><span class="lnt">2 </span><span class="lnt">3 </span><span class="lnt">4 </span></code></pre></td> <td class="lntd"> <pre tabindex="0" class="chroma"><code class="language-text" data-lang="text"><span class="line"><span class="cl">静态检测：文件哈希 · PE 结构 · YARA 规则 </span></span><span class="line"><span class="cl">行为检测：API 调用序列 · 内存操作 · 进程注入 </span></span><span class="line"><span class="cl">网络检测：C2 通信特征 · DGA 域名 </span></span><span class="line"><span class="cl">云安全：EDR + XDR + NDR 联动 </span></span></code></pre></td></tr></table> </div> </div><h2 id="四小结">四、小结 </h2><p>免杀与检测的对抗是攻防两端的持续博弈。防御方需<strong>静态+行为+网络</strong>三管齐下，检测方需不断更新规则库和检测模型。</p>