反殺毒系列內(nèi)容為【基礎(chǔ)】和【實戰(zhàn)】兩部分。

基礎(chǔ)部分內(nèi)容含：主要講解免殺必備的基礎(chǔ)知識、使用技巧和經(jīng)驗

實戰(zhàn)部分內(nèi)容：主要講持久化控制工具

通過反殺毒系列課程的學(xué)習(xí)，可掌握技術(shù)的理論知識和實操手法，最后達(dá)到可以獨(dú)立完成持久化控制。也可以利用技術(shù)及時發(fā)現(xiàn)計算機(jī)的木馬病毒，并采取應(yīng)急措施。

本次介紹反殺毒必備的基礎(chǔ)知識部分內(nèi)容：

一、免殺常規(guī)手法

修改特征碼：

免殺的最基本思想就是破壞特征，這個特征有可能是特征碼，有可能是行為特征，只要破壞了病毒與木馬所固有的特征，并保證其原有功能沒有改變，一次免殺就能完成了。

修改特征碼最重要的是定位特征碼，但是定位了特征碼修改后并不代表程序就能正常運(yùn)行，費(fèi)時費(fèi)力，由于各個殺軟廠商的特征庫不同，所以一般也只能對一類的殺軟起效果。雖然效果不好，但有時候在沒有源碼的情況下可以使用。

加殼免殺：

說起軟件加殼，簡單地說，軟件加殼其實也可以成為軟件加密（或軟件壓縮），只是加密（或壓縮）的方式與目的不一樣罷了。殼就是軟件所增加的保護(hù)，并不會破壞里面的程序結(jié)構(gòu)，當(dāng)我們運(yùn)行這個加殼的程序時，系統(tǒng)首先會運(yùn)行程序里的殼，然后由殼將加密的程序逐步還原到內(nèi)存中，最后運(yùn)行程序。

內(nèi)存免殺：

CPU不可能是為某一款加殼軟件而特別設(shè)計的，因此某個軟件被加殼后的可執(zhí)行代碼CPU是讀不懂的。這就要求在執(zhí)行外殼代碼時，要先將原軟件解密，并存放到內(nèi)存里，然后再通知CPU執(zhí)行。

資源修改：

有些殺軟會設(shè)置有掃碼白名單，比如之前把程序圖標(biāo)替換為360安全衛(wèi)士圖標(biāo)就能過360的查殺。

1.加資源

使用ResHacker對文件進(jìn)行資源操作，找來多個正常軟件，將它們的資源加入到自己軟件，如圖片，版本信息，對話框等。

2.替換資源

使用ResHacker替換無用的資源（Version等）。

3.加簽名

使用簽名偽造工具，將正常軟件的簽名信息加入到自己軟件中。

二、殺毒引擎管理

殺軟常見掃描方式：

1.掃描壓縮包技術(shù)

2.程序竄改防護(hù)

3.修復(fù)技術(shù)

4.急救盤殺毒

5.智能掃描

6.全盤掃描

7.勒索軟件防護(hù)

8.開機(jī)掃描

?監(jiān)控技術(shù)：

1.內(nèi)存監(jiān)控

2.文件監(jiān)控

3.郵件監(jiān)控

4.網(wǎng)頁防護(hù)

5.行為防護(hù)

?掃描引擎：

1.特征碼掃描

機(jī)制：將掃描信息與病毒數(shù)據(jù)庫（即所謂的“病毒特征庫”）進(jìn)行對照，如果信息與其中的任何一個病毒特征符合，殺毒軟件就會判斷此文件被病毒感染。

2.類別：

文件特征碼

內(nèi)存特征碼

進(jìn)程行為檢測法（沙盒模式）：

機(jī)制：通過對病毒多年的觀察、研究，有一些行為是病毒的共同行為，而且比較特殊，在正常程序中，這些行為比較罕見。

優(yōu)點：可發(fā)現(xiàn)未知病毒、可相當(dāng)準(zhǔn)確地預(yù)報未知的多數(shù)病毒

缺點：可能誤報警、不能識別病毒名稱、有一定實現(xiàn)難度、需要更多的用戶參與判斷

因篇幅有限，只例舉了部分內(nèi)容，如果想了解更多，可以點擊下方二維碼系統(tǒng)學(xué)習(xí)。

除以上內(nèi)容，基礎(chǔ)篇還將學(xué)習(xí)軟件環(huán)境配置、加載庫的調(diào)試，持久化控制安裝、部署等必備基礎(chǔ)知識。

視頻課程學(xué)習(xí)地址：https://www.aqniukt.com/my/course/15407