红蓝对抗----免杀原理和绕过研究

目录

前言

静态查杀

已知病毒查杀-特征码查杀

未知病毒查杀-静态启发式查杀

动态查杀

已知病毒查杀查杀-内存特征

未知病毒查杀-启发式查杀和主动防御

免杀流程

参考资料

前言

    世面上很多的杀软免杀文章，但经过笔者实战，发现一个问题，会有很多方法推荐给你，例如加壳，加花指令等等的方式。本来不会被查杀的程序，被加壳后还被查杀了。这对新手十分不友好。那么有没有一种实战性强（既免杀率高，免杀效果持久），一站式的免杀流程和方案来让你制作免杀。并且该免杀方案还能保持一些原则来增加程序的免杀持久性。答案是有。接下来我们将在该系列中介绍一种一站式免杀流程和方案，让新手更快的学会和应用。

在该系列文章中将静态免杀和动态免杀，划分方式为是否运行程序。主要分为以下两种情况:

1.如果放置进杀软环境被查杀则可能为静态查杀或动态查杀(沙箱查杀DLL，因为DLL并不会直接运行)。

2.如果双击运行被查杀，则为动态查杀。

静态查杀

    静态查杀可以分为两种查杀，一种为查杀已知类型查杀，一种为查杀未知类型查杀。其中通过指定文件hash，或文件中存在多个字符串则可以通过指定存在这些特征的则为这一类病毒，以下分别介绍。