第一期：免杀的前世今生与攻防底层逻辑

原创已于 2026-06-15 21:39:26 修改 · 309 阅读

CC 4.0 BY-SA版权

文章标签：

于 2026-06-15 21:36:19 首次发布

1 篇文章

订阅专栏

作者前言：在网络安全领域，“免杀”（Anti-AV/Anti-EDR）一直是攻防双方博弈的核心。作为防御者，不了解攻击者的“画笔”，就无法画出正确的“防线”。本文将从历史演变、技术原理及防御视角，带你重新审视免杀技术。

免杀（Evasion），全称“免杀技术”，狭义上指绕过杀毒软件（AV）的查杀；广义上则涵盖了绕过端点检测与响应系统（EDR）、防火墙、甚至人工分析的所有技术手段。

对于红队（Red Team），它是投递载荷（Payload）的必要前置；

对于蓝队（Blue Team），它是构建检测规则的核心依据。

为了更好地理解现状，我们需要回顾攻防对抗的三个时代：

时代	核心对抗点	攻击侧技术	防御侧技术
1.0 特征时代	文件静态特征	修改木马字节、加壳、花指令	病毒库签名、MD5黑名单
2.0 启发时代	文件结构与行为	内存加载、加密Shellcode、多态变形	启发式扫描、虚拟执行（沙箱）
3.0 对抗时代	内存与内核	无文件攻击、Direct Syscalls、驱动级对抗	EDR行为监控、内核回调、内存扫描

现状：单纯的文件查杀早已失效，现代对抗的主战场已经转移到了内存（Memory）和行为（Behavior）。

作为网安工程师，你必须清楚你的对手（杀软）是如何看到你的。

机制：基于 telemetry（遥测数据）。它不关心文件长什么样，而是关心你在做什么。
关键技术：
- Hooking（钩子）：EDR会注入DLL到你的进程中，监控 CreateRemoteThread, VirtualAllocEx等敏感 API 调用。
- ETW（Event Tracing for Windows）：内核层面的事件追踪，记录进程创建、网络连接等行为。

防御者笔记：如果你在分析一个样本，发现它频繁调用 NtProtectVirtualMemory将内存属性改为 RWX（可读可写可执行），这就是一个高危信号。

在实际工作中，我们不使用“免杀”这个词，而是使用 MITRE ATT&CK 框架中的标准术语。

以下是常见的免杀技术对应的 ATT&CK ID：

技术名称	ATT&CK ID	描述
Obfuscated Files or Information	T1027	对文件和信息进行混淆（加密、编码）。
Masquerading	T1036	伪装成系统文件或合法进程（如 svchost.exe）。
Process Injection	T1055	将代码注入到其他进程中以躲避监控。
Reflective Code Injection	T1620	将代码反射加载到内存中，不在磁盘落档。
Indicator Removal	T1070	清除日志、篡改时间戳。

在开始研究之前，请务必搭建隔离的实验室环境。切勿在生产环境或互联网上进行测试。