第一期：免杀的前世今生与攻防底层逻辑

作者前言：在网络安全领域，"免杀"（Anti-AV/Anti-EDR）一直是攻防双方博弈的核心。作为防御者，不了解攻击者的"画笔"，就无法画出正确的"防线"。本文将从历史演变、技术原理及防御视角，带你重新审视免杀技术。

免杀（Evasion），全称"免杀技术"，狭义上指绕过杀毒软件（AV）的查杀；广义上则涵盖了绕过端点检测与响应系统（EDR）、防火墙、甚至人工分析的所有技术手段。

对于红队（Red Team），它是投递载荷（Payload）的必要前置；

对于蓝队（Blue Team），它是构建检测规则的核心依据。

为了更好地理解现状，我们需要回顾攻防对抗的三个时代：

时代	核心对抗点	攻击侧技术	防御侧技术
1.0 特征时代	文件静态特征	修改木马字节、加壳、花指令	病毒库签名、MD5黑名单
2.0 启发时代	文件结构与行为	内存加载、加密Shellcode、多态变形	启发式扫描、虚拟执行（沙箱）
3.0 对抗时代	内存与内核	无文件攻击、Direct Syscalls、驱动级对抗	EDR行为监控、内核回调、内存扫描

现状：单纯的文件查杀早已失效，现代对抗的主战场已经转移到了内存（Memory） 和行为（Behavior）。

作为网安工程师，你必须清楚你的对手（杀软）是如何看到你的。

机制：基于 telemetry（遥测数据）。它不关心文件长什么样，而是关心你在做什么。
关键技术：
- Hooking（钩子） ：EDR会注入DLL到你的进程中，监控 CreateRemoteThread, VirtualAllocEx等敏感 API 调用。
- ETW（Event Tracing for Windows）：内核层面的事件追踪，记录进程创建、网络连接等行为。

防御者笔记 ：如果你在分析一个样本，发现它频繁调用 NtProtectVirtualMemory将内存属性改为 RWX（可读可写可执行），这就是一个高危信号。

在实际工作中，我们不使用"免杀"这个词，而是使用 MITRE ATT&CK 框架中的标准术语。

以下是常见的免杀技术对应的 ATT&CK ID：

技术名称	ATT&CK ID	描述
Obfuscated Files or Information	T1027	对文件和信息进行混淆（加密、编码）。
Masquerading	T1036	伪装成系统文件或合法进程（如 svchost.exe）。
Process Injection	T1055	将代码注入到其他进程中以躲避监控。
Reflective Code Injection	T1620	将代码反射加载到内存中，不在磁盘落档。
Indicator Removal	T1070	清除日志、篡改时间戳。

在开始研究之前，请务必搭建隔离的实验室环境。切勿在生产环境或互联网上进行测试。

本期我们梳理了免杀的基本概念和防御者的观察视角。记住：所有的免杀技术，本质上都是在试图打破"文件-内存-行为"这条链路上的某个监控环节。

下期预告：

我们将深入探讨 《第二期：静态特征的识别与对抗》 。我将教你如何编写 YARA 规则 来捕捉那些试图通过简单加密和混淆来隐藏自己的恶意代码，并解析字符串加密的原理。

在你的企业环境中，如果一台主机的 PowerShell 突然执行了一段 Base64 编码的命令，你会如何区分这是管理员的运维操作，还是攻击者的免杀行为